Qu'est-ce que la gestion de la surface d'attaque externe (EASM) ?
Ce texte a été généré par l'intelligence artificielle (IA).
La gestion de la surface d'attaque externe (External Attack Surface Management, ou EASM) désigne l'identification, l'évaluation et la surveillance continues de tous les systèmes informatiques d'une entreprise accessibles depuis Internet. L'analyse est effectuée du point de vue d'un attaquant : elle met en évidence les serveurs, domaines, services et applications visibles depuis l'extérieur, ainsi que les risques qui en découlent. Cet article explique comment fonctionne l'EASM, en quoi elle se distingue de la gestion des vulnérabilités et des tests d'intrusion, et les critères à prendre en compte lors du choix d'une solution.
L'essentiel en bref
L'EASM recense tous les systèmes informatiques d'une entreprise accessibles depuis Internet et évalue les risques qu'ils présentent du point de vue d'un attaquant.
L'analyse ne nécessite ni agent ni installation. Elle commence généralement par le domaine principal de l'entreprise.
EASM complète la gestion des vulnérabilités et les tests d'intrusion en offrant une visibilité permanente sur les systèmes inconnus et oubliés.
Selon le rapport de situation 2025 du BSI, 119 nouvelles vulnérabilités en moyenne ont été signalées chaque jour au cours de la période considérée, soit environ 24 % de plus que pendant la même période de l'année précédente.
Parmi les problèmes typiquement détectés, on trouve l'« informatique fantôme », les sous-domaines oubliés, les ports ouverts et les logiciels obsolètes visibles depuis l'extérieur.
Définition : qu'entend-on par « gestion de la surface d'attaque externe » ?
La surface d'attaque externe d'une entreprise englobe l'ensemble des actifs numériques auxquels un attaquant peut accéder sans avoir accès au réseau interne. Cela comprend les serveurs web, les serveurs de messagerie, les accès VPN, les services cloud, les interfaces (API), les sous-domaines, les certificats et les interfaces d'administration exposées. La gestion de la surface d'attaque externe (External Attack Surface Management) est le processus qui consiste à recenser systématiquement cette surface d'attaque, à évaluer ses risques et à surveiller en permanence les changements qui y interviennent.
Le cabinet d'analyse Gartner a introduit l'EASM en tant que catégorie à part entière dans ses analyses de marché en 2021. Selon Gartner, les solutions EASM aident les entreprises à identifier les risques liés aux systèmes exposés sur Internet, dont l'organisation ignore souvent l'existence. C'est précisément ce qui distingue l'EASM des audits de sécurité classiques : il ne se contente pas de vérifier ce qui figure dans l'inventaire, mais commence par déterminer ce qui appartient réellement à l'entreprise.
Les besoins augmentent de manière mesurable. Selon le rapport de situation 2025 du BSI, publié en novembre 2025, 119 nouvelles vulnérabilités en moyenne ont été signalées chaque jour entre juillet 2024 et juin 2025, soit environ 24 % de plus que pendant la même période de l'année précédente. Dans le même temps, en raison de l’utilisation du cloud, du télétravail et des acquisitions, les systèmes d’entreprise se répartissent entre un nombre croissant de sites et de fournisseurs. Sans une veille externe continue, une partie de cette surface d’attaque reste inaperçue et donc non protégée.
EASM, gestion des vulnérabilités et tests d'intrusion : comparaison
Ces trois approches répondent à des questions différentes et se complètent. La gestion des vulnérabilités consiste à vérifier régulièrement la présence de vulnérabilités connues sur les systèmes répertoriés. Un test d'intrusion vérifie ponctuellement si des cibles définies peuvent effectivement être compromises. L'EASM fournit au préalable la base nécessaire : une vue d'ensemble actualisée des systèmes accessibles depuis l'extérieur, y compris les actifs qui ne figurent dans aucun inventaire.
critère
EASM
Gestion des vulnérabilités
Test d'intrusion
Perspective
Vue d'ensemble de l'attaquant sur tous les systèmes accessibles
Aperçu des systèmes connus et répertoriés
Attaque simulée contre des cibles définies
Recense les actifs inconnus
Oui, la fonction « Discovery » est une fonctionnalité essentielle
Non, c'est l'inventaire habituel qui est vérifié
Uniquement dans le cadre du périmètre de la mission
Fréquence
En continu ou à intervalles réguliers
Analyses régulières selon un calendrier défini
De manière ponctuelle, généralement une à deux fois par an
Conditions préalables
Pas d'agents, pas d'installation, juste un point de départ comme le domaine principal
Scanners ou agents sur le réseau, accès aux systèmes
Mandat, définition du périmètre, période de test
Résultat typique
Vue d'ensemble actuelle de la surface d'attaque externe avec évaluation des risques
Liste des vulnérabilités des systèmes connus
Identification de vecteurs d'attaque concrètement exploitables
Rôle dans le processus de sécurité
Vue d'ensemble, hiérarchisation et suivi
Contrôle continu des systèmes connus
Contrôle de la profondeur de certains systèmes
Dans la pratique, ces approches se complètent. L'EASM identifie la surface d'attaque et hiérarchise les risques. Sur cette base, il est possible d'orienter de manière ciblée les analyses de vulnérabilités et de concentrer les tests d'intrusion sur les systèmes critiques. Ainsi, le budget est alloué là où se situe réellement le risque.
Tout commence par la phase de découverte. À partir d'un point de départ, généralement le domaine principal, la solution identifie tous les actifs associés : sous-domaines, adresses IP et segments de réseau, serveurs de messagerie et serveurs de noms, certificats, instances cloud et applications web. Pour ce faire, elle analyse notamment les données DNS, les journaux de transparence des certificats et les données d'enregistrement publiques. Aucun agent ni aucune installation sur le réseau de l'entreprise n'est nécessaire.
Dans un deuxième temps, la solution évalue les systèmes détectés. Elle vérifie les ports ouverts et les services accessibles, les configurations de chiffrement et de certificats, les mécanismes de sécurité de la messagerie tels que SPF, DKIM et DMARC, ainsi que les logiciels identifiables depuis l'extérieur. Les versions logicielles détectées peuvent être associées à des vulnérabilités connues (CVE). Élément important pour l’interprétation : une analyse externe met en évidence l’exposition et les logiciels utilisés. La vulnérabilité réelle d’une installation spécifique dépend également de l’état des correctifs, qui n’est pas toujours identifiable depuis l’extérieur. Les solutions fiables indiquent cette distinction de manière transparente afin que votre équipe puisse vérifier correctement les résultats.
La troisième étape consiste en une surveillance continue. Les nouveaux sous-domaines, les ports ouverts ou les certificats arrivant à expiration génèrent des alertes dès leur apparition. Des indicateurs agrégés tels qu’un Note de sécurité permettent de mesurer l'évolution au fil du temps et de la rendre compréhensible pour la direction et les organes de surveillance. Chez LocateRisk, les premiers résultats de la Analyse des risques informatiques dans les 48 heures.
Certaines tendances se répètent, tous secteurs et toutes tailles d'entreprises confondus :
« Shadow IT » : Les services opérationnels utilisent leurs propres outils, environnements de test ou services cloud, qui ont été mis en place sans passer par le service informatique et ne figurent dans aucun dispositif de sécurité.
Sous-domaines oubliés : Les anciennes pages de projet, les environnements de test ou les pages de campagne restent en ligne, bien que personne ne les mette plus à jour. Si un enregistrement DNS pointe vers une ressource cloud abandonnée, il existe en outre un risque de détournement de sous-domaine.
Ports ouverts : Les bases de données, les accès à distance au bureau ou les interfaces d'administration sont accessibles directement depuis Internet, alors qu'ils ne devraient être utilisés qu'en interne.
Logiciels obsolètes : Les numéros de version visibles depuis l'extérieur des serveurs Web, des systèmes de gestion de contenu ou des frameworks indiquent que des mises à jour n'ont pas été effectuées.
Erreur de configuration : Les certificats périmés, les paramètres TLS insuffisants ou l'absence de mécanismes de sécurité des e-mails tels que DMARC facilitent le phishing et l'interception des communications.
Ces découvertes semblent rarement spectaculaires, mais constituent précisément les points d’entrée recherchés par les pirates. Le rapport de situation 2025 du BSI montre l’ampleur du problème : selon ce rapport, des informations sensibles, notamment des indications sur des vulnérabilités potentielles, étaient accessibles au public pour 47 % des adresses IP joignables derrière des domaines .de. Chaque système négligé réduit les obstacles à une attaque réussie, quel que soit le niveau de protection des systèmes connus.
Quels sont les avantages de l'EASM ?
L'avantage immédiat est la transparence. Vous voyez votre propre infrastructure informatique telle qu'un pirate la perçoit et disposez d'un inventaire fiable des systèmes accessibles depuis l'extérieur. Sur cette base, EASM hiérarchise les risques : un port de base de données ouvert sur un système de production est considéré comme plus grave qu’un certificat expiré sur une page d’information. Les équipes informatiques se concentrent ainsi sur les points présentant le plus grand risque, et la direction dispose, grâce à des indicateurs clés, d’une vue d’ensemble claire sans avoir besoin de connaissances techniques approfondies.
À cela s'ajoute l'intérêt sur le plan réglementaire. La Directive NIS 2 oblige les entreprises concernées à mettre en place une gestion systématique des risques. La loi allemande de transposition est entrée en vigueur le 6 décembre 2025 et s'applique, selon les estimations, à environ 29 500 entreprises en Allemagne. Une vue d’ensemble de leur propre surface d’attaque, mise à jour en permanence, fournit à cet effet des preuves documentées. Pour les entreprises du secteur financier, la DORA exige en outre la gestion de Risques liés aux tiers dans le domaine des TIC.
Un autre avantage découle de la méthode elle-même. Comme l'analyse fonctionne sans installation et sans intervention de l'entreprise contrôlée, elle peut également s'appliquer aux prestataires de services et aux sous-traitants. L'EASM devient ainsi la base technique de la gestion des risques liés aux fournisseurs.
Critères de sélection : les éléments à prendre en compte lors du choix d'une solution EASM
Le marché des solutions EASM a connu une forte croissance depuis 2021. Les critères suivants permettent d'évaluer ces solutions :
Qualité de la recherche et traçabilité : La solution doit permettre de justifier pourquoi un actif a été affecté à l'entreprise. Il doit être facile d'apporter des modifications au périmètre.
Évaluation claire : Les indicateurs clés, tels qu'une note de sécurité basée sur des KPI, doivent être compréhensibles aussi bien par les équipes techniques que par la direction et permettre de définir des priorités.
Continuité : Les analyses ponctuelles deviennent rapidement obsolètes. Veillez à mettre en place une surveillance continue avec des notifications en cas de changements pertinents.
Faible coût de mise en place : Une analyse externe devrait pouvoir démarrer sans agent, sans installation et sans longue phase préparatoire. Les premiers résultats devraient être disponibles en quelques jours, voire en 48 heures avec LocateRisk.
Actualité des données relatives aux vulnérabilités : Une solution EASM devrait pouvoir classer les nouvelles notifications de vulnérabilité même en l'absence d'une évaluation définitive de la part du NVD. Pour ce faire, LocateRisk utilise Intelligence préemptive et recoupe les informations provenant de plusieurs sources avec la surface d'attaque. Cela permet de hiérarchiser plus tôt les risques potentiels.
Confidentialité et hébergement : Pour les entreprises en Allemagne, la conformité au RGPD, l'hébergement dans des centres de données allemands certifiés et la mise en place par le prestataire d'un SMSI certifié ISO 27001 comptent parmi les critères essentiels.
Extensibilité aux fournisseurs : Si vous envisagez également d'évaluer des prestataires de services à l'avenir, la solution devrait Gestion des risques liés aux fournisseurs soutenir.
Le mieux est de vérifier ces critères en les appliquant à votre propre surface d'attaque. Un test effectué sur votre propre domaine principal vous permettra de constater rapidement dans quelle mesure la fonction de découverte recense les systèmes accessibles et si les résultats sont présentés de manière claire.
Tous les systèmes accessibles depuis Internet : domaines et sous-domaines, adresses IP, applications web, API, serveurs de messagerie et de noms de domaine, accès VPN et à distance, services cloud et certificats. Les systèmes des filiales ou issus d'acquisitions en font également partie, dans la mesure où ils sont rattachés à l'entreprise.
Non. L'EASM indique en permanence quels systèmes sont accessibles et où se situent les risques. Un test d'intrusion vérifie de manière ponctuelle et approfondie si des systèmes spécifiques peuvent être compromis. Ces deux approches sont complémentaires : l'EASM fournit une vue d'ensemble et établit des priorités, tandis que le test d'intrusion permet un examen approfondi des cibles critiques.
Non. EASM fonctionne exclusivement à partir d'informations visibles de l'extérieur. Il ne nécessite ni agents, ni identifiants d'accès, ni installation. C'est précisément là que réside son intérêt méthodologique : l'analyse présente la même image que celle qu'un pirate informatique verrait.
Comme aucun agent ne doit être installé, l'analyse démarre sans phase préparatoire. Sa durée dépend de la taille de la surface d'attaque. LocateRisk fournit les premiers résultats de l'analyse dans un délai de 48 heures. Par la suite, la surveillance assure la mise à jour continue des résultats.
Pour toute entreprise disposant d'un site Internet. Cela concerne tout particulièrement les organisations dotées d'une infrastructure informatique développée, disposant de plusieurs sites ou ayant procédé à des acquisitions, ainsi que les entreprises soumises à la directive NIS-2 ou à la réglementation DORA et tenues de fournir des preuves de leur gestion des risques.
Le meilleur moyen de commencer est d'examiner vos propres vulnérabilités. Demandez un évaluation gratuite du niveau de sécurité et découvrez quels systèmes de votre entreprise sont visibles depuis l'extérieur, comment se situe votre niveau de sécurité par rapport à celui d'autres entreprises et où se situent les risques les plus importants.
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English