Bề mặt tấn công là tổng hợp tất cả các điểm mà người dùng trái phép có thể cố gắng xâm nhập vào hệ thống, trích xuất dữ liệu từ hệ thống hoặc gây hại.
Bề mặt tấn công thường được dùng như một chỉ báo sơ bộ về mức độ dễ bị tấn công của hệ thống. Bề mặt tấn công nhỏ hơn đồng nghĩa với ít cách để kẻ tấn công xâm nhập hơn, vì vậy việc giảm bề mặt tấn công là nguyên tắc cốt lõi của thiết kế an toàn. Tuy nhiên, cần lưu ý rằng bề mặt tấn công nhỏ hơn không làm giảm thiệt hại mà kẻ tấn công có thể gây ra khi họ đã xâm nhập được vào hệ thống. Nó chỉ làm giảm số cách mà họ có thể xâm nhập.
Để tìm ra cách xâm nhập, kẻ tấn công thường chỉ cần một điểm dễ bị tổn thương. Trong các nỗ lực tinh vi hơn, chúng có thể lập bản đồ hệ thống trước, liệt kê các thiết bị và kết nối của hệ thống, sau đó tìm điểm yếu tại từng node trước khi chọn nơi ra tay.
Giảm bề mặt tấn công là cách phổ biến để xây dựng các hệ thống an toàn hơn. Một số biện pháp cơ bản có thể giúp bao gồm:
Chạy ít mã hơn: ít dòng mã hơn thường đồng nghĩa với ít vector tấn công tiềm ẩn hơn.
Hạn chế các điểm xâm nhập: ít cách truy cập vào hệ thống hơn thường để lại ít kẽ hở hơn cho người dùng trái phép.
Tắt các tính năng không cần thiết: tắt các dịch vụ chỉ được sử dụng bởi một số ít người dùng sẽ loại bỏ chức năng mà kẻ tấn công có thể nhắm đến.
Khi sử dụng cùng nhau, các biện pháp này giúp hệ thống gọn nhẹ hơn và thường có khả năng chống lại xâm phạm tốt hơn, dù không có cách nào có thể loại bỏ rủi ro hoàn toàn.