Uma superfície de ataque é tudo em uma organização que alguém de fora consegue ver e potencialmente atacar — domínios, subdomínios, serviços expostos, credenciais vazadas e informações públicas sobre funcionários. Mapeá-la é um exercício defensivo de OSINT: as equipes levantam a própria superfície de ataque antes que um adversário o faça.
As mesmas técnicas que um atacante usaria — footprinting, enumeração de subdomínios, verificação de vazamentos — são voltadas para dentro, a fim de encontrar e fechar exposições.