Évaluation de la surface d'attaque : de l'identification des actifs à la hiérarchisation des priorités
Ce texte a été généré par l'intelligence artificielle (IA).
Une évaluation de la surface d'attaque permet d'identifier les systèmes accessibles depuis l'extérieur qui peuvent être attribués à une organisation, de déterminer leurs caractéristiques et de repérer les vulnérabilités qui nécessitent un examen plus approfondi. Elle fournit un aperçu évalué de la surface d'attaque externe. Son intérêt ne réside pas dans une liste de résultats aussi longue que possible, mais dans une attribution fiable, un contexte technique et des étapes suivantes clairement définies.
On utilise également comme termes proches Évaluation de la surface d'attaque externe et Analyse de la surface d'attaque utilisés. Des termes tels que Évaluation de l'exposition externe ou Évaluation de la vulnérabilité informatique peuvent être définies de manière plus large selon le prestataire et inclure également les configurations cloud, les identités ou les données internes. Les périmètres de prestations ne sont pas normalisés. Les donneurs d'ordre doivent donc vérifier la méthodologie et la portée, et pas seulement l'intitulé.
L'essentiel en bref
Une évaluation de la surface d'attaque combine découverte, attribution, surveillance technique, contexte et hiérarchisation.
La perspective externe permet également de recenser les systèmes inconnus ou gérés en dehors des inventaires centraux, dans la mesure où ceux-ci sont identifiables publiquement et peuvent être classés.
Un résultat est avant tout un signal vérifiable. La criticité résulte de l'exposition, de l'importance technique, du niveau de menace et du contexte métier.
Cette évaluation vient compléter les analyses de vulnérabilité et les tests d'intrusion, car ceux-ci ont des niveaux de détail et des champs d'application différents.
Afin d'assurer une visibilité continue, l'évaluation ponctuelle se transforme en un processus EASM comprenant une identification et un suivi réguliers.
Ce qu'évalue une analyse de la surface d'attaque
La surface d'attaque externe comprend les ressources numériques accessibles et les caractéristiques observables qu'un attaquant pourrait exploiter à des fins de reconnaissance ou d'attaque. Il s'agit par exemple des domaines, sous-domaines, adresses IP, applications web, accès à distance, infrastructure de messagerie, certificats, points de terminaison cloud et services accessibles au public. Toutes les ressources ne posent pas nécessairement problème. Un service correctement sécurisé peut être techniquement nécessaire tout en faisant partie de la surface d'attaque.
Dans son guide intitulé « Internet Exposure Reduction Guidance », la CISA recommande tout d'abord d'identifier les actifs de l'entreprise accessibles depuis Internet. Il convient ensuite d'évaluer la nécessité de cette exposition. Pour les systèmes restants, des mesures de protection et des réévaluations régulières sont mises en place. Ce processus met en évidence la différence entre visibilité et risque : l'identification permet de recenser les éléments concernés ; l'évaluation clarifie l'objectif, la protection et les mesures à prendre.
Un audit a une date de référence et un champ d'application bien définis. Il permet de déterminer quelles ressources externes ont été identifiées au cours de la période d'enquête et quelles conclusions peuvent en être tirées. Il ne prouve pas que tous les actifs appartenant à l'organisation ont été recensés. Des ressources cloud éphémères, des services non identifiables publiquement ou des participations difficiles à attribuer d’un point de vue technique peuvent faire défaut. De même, les acquisitions, les prestataires de services et les portefeuilles de marques peuvent nécessiter une vérification manuelle.
La mission doit donc recenser les points de départ, les marques et filiales connues, les domaines exclus ainsi que les méthodes de vérification autorisées. Une évaluation portant sur un nom de domaine unique ne répond pas aux mêmes questions qu’une analyse portant sur un groupe d’entreprises. De même, la période d’observation influe sur l’apparition ou non, dans les résultats, de ressources éphémères et de services à usage saisonnier.
Identification et attribution des ressources externes
La découverte commence par des points d'ancrage connus. Il s'agit notamment des domaines, des segments de réseau enregistrés, des marques, des noms d'entreprises et des certificats connus. Les relations techniques fournissent d'autres candidats : enregistrements DNS, certificats TLS, modèles d'hébergement, mappages réseau et liens. Ces méthodes combinent des sources de données passives et des requêtes actives non intrusives. Les procédures autorisées doivent être précisées dans la demande d'audit.
La CISA décrit la découverte des actifs comme un élément constitutif de la visibilité opérationnelle et la distingue du recensement des vulnérabilités. La découverte identifie les actifs accessibles et les adresses associées. L'énumération des vulnérabilités cherche en outre à détecter les systèmes d'exploitation, les applications, les ports, les mises à jour manquantes ou les erreurs de configuration, et à les comparer aux vulnérabilités connues. Pour les environnements internes, les analyses privilégiées ou les logiciels de protection des terminaux peuvent offrir une profondeur technique plus importante qu'une simple vue externe.
Chaque candidat doit faire l'objet d'une attribution. Un hébergeur cloud partagé, un CDN ou un service de messagerie externe ne doit pas être attribué à l'entreprise examinée au seul motif d'une proximité technique. Une combinaison de plusieurs signaux est plus pertinente. Parmi ceux-ci figurent les zones DNS contrôlées, les noms de certificats, les données d'enregistrement, les contenus, les intégrations connues et la confirmation par le propriétaire de l'actif.
Les résultats doivent comporter une note de fiabilité ou un statut de vérification. Les mentions „ Confirmé “, „ Probablement associé “ et „ Non clarifié “ sont plus utiles pour le traitement qu’une liste indifférenciée. Les actifs mal attribués génèrent des escalades inutiles. À l’inverse, les candidats non vérifiés peuvent masquer des expositions pertinentes.
Des constatations techniques aux mesures prioritaires
Une fois l'attribution effectuée, l'évaluation recense les caractéristiques observables. Il s'agit par exemple de services accessibles sans restriction, de problèmes de certificats, de protocoles non sécurisés, d'interfaces d'administration exposées, de configurations DNS et de messagerie, ou encore d'indications sur les logiciels utilisés. Un signal technique ne constitue pas encore une exploitation confirmée et ne correspond pas toujours à une vulnérabilité. Il nécessite une validation et doit être replacé dans son contexte.
LocateRisk identifie les systèmes accessibles depuis l'extérieur et les indications relatives aux logiciels utilisés. Cela permet d'en déduire les vulnérabilités et les motifs de contrôle. Cependant, cette vue d’ensemble ne permet pas nécessairement d’identifier la version concrètement vulnérable. Les informations relatives à la version peuvent manquer, être masquées ou concerner plusieurs composants. Lorsqu’une attribution claire n’est pas possible, le résultat doit être formulé comme une indication et vérifié en interne ou auprès de l’opérateur.
La gravité et le nombre de résultats ne suffisent pas pour établir un ordre de priorité. Les facteurs pertinents sont l'accessibilité publique, la fonction de l'actif, les données traitées, les couches de protection existantes, l'exploitation connue, la fiabilité technique du signal et les répercussions possibles. Le catalogue CISA « Known Exploited Vulnerabilities » sert de base à la hiérarchisation des vulnérabilités connues. Le CVSS décrit la gravité technique et peut prendre en compte le contexte de la menace ainsi que l’environnement. Ces deux éléments ne remplacent pas l’évaluation de l’actif concerné au sein de l’entreprise elle-même.
Un bon résultat indique, pour chaque point priorisé, l'état observé, les éléments probants, l'attribution, la justification de la priorité et une mesure vérifiable. Le responsable doit pouvoir déterminer si un service doit être désactivé, restreint, mis à jour, examiné de manière plus approfondie ou documenté en tant qu'exposition acceptée.
Différence par rapport à l'EASM, à l'analyse de vulnérabilité et au test d'intrusion
Ces procédures répondent à des questions différentes. Un bilan d'évaluation consiste généralement en un état des lieux ponctuel. Gestion de la surface d'attaque externe effectue en continu la détection, l'évaluation et le suivi dans le cadre d'un processus opérationnel. Un scan de vulnérabilité vérifie automatiquement la présence de failles techniques sur des cibles définies et peut, à l'aide d'identifiants d'accès, obtenir des informations plus détaillées à partir des systèmes internes. Un test d’intrusion examine un périmètre convenu en s’appuyant sur l’expertise humaine et tente de vérifier ou d’enchaîner les failles de manière contrôlée.
Procédure
Question centrale
Atout caractéristique
Limite typique
Évaluation de la surface d'attaque
Qu'est-ce qui est visible de l'extérieur et comment faut-il l'interpréter ?
Aperçu rapide et évalué de l'extérieur
Données à une date de référence et profondeur interne limitée
EASM
Comment évolue la surface d'attaque externe ?
Discovery récurrent et suivi
Vue d'ensemble limitée des contrôles internes
Analyse des vulnérabilités
Quelles sont les vulnérabilités connues mises en évidence par les objectifs définis ?
Une portée technique automatisable et une plus grande profondeur en matière de données d'accès
Nécessite la définition d'un périmètre cible et une validation technique
Test d'intrusion
Quelles voies d'attaque peuvent être vérifiées dans le cadre de test ?
Analyse humaine et enchaînement contrôlé
Limité dans le temps et au périmètre convenu
Ces méthodes se complètent. L'évaluation peut mettre en évidence des systèmes et des priorités inconnus pour les analyses ou les tests ultérieurs. Un test d'intrusion peut, quant à lui, révéler quels types de résultats sont particulièrement pertinents dans la pratique. Les analyses internes examinent les ressources qui ne sont pas accessibles depuis Internet ou dont l'origine ne peut être identifiée.
Un déroulement concret de l'évaluation
La première étape consiste à définir l'objectif, le périmètre et les besoins en matière de décision. S'agit-il d'évaluer un groupe d'entreprises interne, de préparer une acquisition ou d'analyser un fournisseur d'un point de vue externe ? Viennent ensuite la collecte des données de référence et la définition des responsabilités. La mission précise également les limites de l'audit, les interlocuteurs et la manière de traiter les résultats potentiellement sensibles.
La deuxième étape consiste en la « découverte ». Les candidats sont recensés, normalisés et leurs relations techniques sont vérifiées. La troisième étape consiste à attribuer les ressources. Les responsables internes valident les affectations importantes et signalent les systèmes mis hors service ou gérés en externe. Sans ce nettoyage, le rapport mélange les expositions réelles avec des ressources historiques ou externes.
La quatrième étape consiste à analyser les services accessibles et d'autres signaux externes. Les observations sont consignées avec un horodatage et des preuves à l'appui. La cinquième étape permet de compléter le contexte métier. Un système de test accessible au public ne contenant pas de données sensibles et un accès configuré de manière identique à un processus clé peuvent se voir attribuer des priorités différentes.
Pour chaque constat priorisé, un responsable technique doit être désigné. Cette personne confirme la finalité et le niveau de criticité de l’actif, mais n’est pas tenue d’exécuter elle-même la mesure technique. Le traitement est pris en charge par l’équipe d’exploitation, le service de développement ou un prestataire externe. Le rapport doit faciliter ce transfert : identifiant unique de l’actif, date d’observation, preuves reproductibles, vérification recommandée et état cible souhaité. Une simple demande générale de „ correction “ ne suffit pas dans le cas de relations complexes d’hébergement et de cloud. Parfois, la mesure la plus efficace consiste en un nettoyage du DNS, une restriction d’accès ou la mise hors service d’un service qui n’est plus nécessaire.
Pour finir, des mesures, des responsables et des délais sont convenus. Le contrôle de suivi permet de vérifier si la situation observée a évolué. Dans le cas d’environnements dynamiques, l’entreprise doit décider quelles parties doivent être intégrées dans un processus continu. Une action ponctuelle Analyse des risques informatiques convient à une occasion précise ; l'EASM s'adapte aux changements en cours.
Évaluer correctement la qualité des résultats et leurs limites
La qualité d'une évaluation se mesure à sa transparence. Le rapport doit mentionner les sources des données, la période d'observation, le périmètre, les exclusions et les limites. Il est tout aussi important de fournir des justifications quant à l'attribution des résultats et d'établir une distinction entre les constatations confirmées, les hypothèses techniques et les indices non vérifiés. Une valeur globale unique, sans justification, facilite la comparaison, mais suffit rarement pour traiter des risques concrets.
Les catégories d'erreurs sont également prises en compte dans l'évaluation. Un « faux positif » désigne un état signalé qui n'est pas confirmé lors de la vérification. Une erreur d'attribution concerne un actif qui n'appartient pas à l'entreprise évaluée. Un résultat obsolète était peut-être correct au moment de l'observation, mais a déjà été corrigé. Ces cas nécessitent différentes corrections au niveau des règles, des données ou des intervalles de vérification.
En ce qui concerne les évaluations des fournisseurs, le rapport d'audit externe devrait être transmis au fournisseur concerné afin qu'il puisse apporter des éclaircissements. Un Note de sécurité peut fournir des tendances et des valeurs de référence. L'autorisation des risques tient en outre compte de la criticité, de la relation contractuelle et d'autres justificatifs. Pour les actifs propres à l'entreprise, le rapport donne lieu à des actions dans les domaines de la gestion des actifs, de la gestion des correctifs, du renforcement de la sécurité ou d'un test d'intrusion.
L'évaluation est réussie lorsque les équipes passent moins de temps à débattre de l'origine d'une liste et prennent plus rapidement des décisions fiables. Pour cela, ce n'est pas le plus grand nombre de correspondances qui compte, mais un classement compréhensible, des limites techniques bien définies et un processus de mesures cohérent.
Une évaluation de la surface d'attaque (Attack Surface Assessment) est une analyse, menée sur une période donnée, de la surface d'attaque visible de l'extérieur. Elle combine l'identification des actifs, l'attribution, les observations techniques, le contexte métier et la hiérarchisation des mesures à prendre.
L'évaluation fournit généralement un aperçu ponctuel dans le cadre d'un événement spécifique. La gestion de la surface d'attaque externe (External Attack Surface Management) poursuit la détection, l'évaluation et le suivi dans le cadre d'un processus opérationnel récurrent.
Non. L'évaluation offre une vue d'ensemble et permet d'identifier des ressources externes inconnues. Un test d'intrusion examine plus en profondeur un périmètre défini et vérifie les vecteurs d'attaque potentiels de manière contrôlée, en s'appuyant sur l'expertise humaine.
Non. Les signaux externes peuvent mettre en évidence des logiciels et des expositions, mais ne contiennent pas toujours d'informations claires sur la version. Les cas suspects doivent être vérifiés à l'aide des données d'inventaire internes, de scans authentifiés ou d'un contrôle technique.
La priorité est déterminée en fonction de la fiabilité des données, de l'accessibilité publique, du caractère critique des actifs, de la gravité technique, de la situation actuelle en matière de menaces, des mesures de protection existantes et des répercussions possibles sur l'activité.
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English