Dernière mise à jour : 6 août 2026

L'EASM dans le processus CTEM : quel rôle joue la détection externe des attaques ?

L'essentiel en bref

• Gestion continue de l'exposition aux menaces (CTEM) Il s'agit d'une approche de gestion continue, et non d'un produit isolé.
• Gartner divise le CTEM en plusieurs étapes : définition du périmètre, exploration, hiérarchisation, validation et mobilisation.
• Gestion de la surface d'attaque externe (EASM) permet notamment de rendre visibles les actifs et les expositions externes à des fins de cadrage et d'exploration.
• À lui seul, l'EASM ne valide pas automatiquement un scénario d'attaque réaliste et n'organise pas non plus de mesures correctives transversales.
• Un processus CTEM efficace réintègre les enseignements tirés de la correction et de la validation dans la définition du périmètre, la hiérarchisation et les indicateurs.

CTEM est un programme de gestion continue de l'exposition

La gestion continue de l'exposition aux menaces (Continuous Threat Exposure Management, CTEM) désigne un processus récurrent permettant aux organisations d'identifier, d'évaluer et de réduire les expositions cybernétiques pertinentes. Gartner définit la CTEM comme une approche intégrée et itérative visant à hiérarchiser les priorités et à améliorer en permanence la posture de sécurité. Ce concept va au-delà des vulnérabilités individuelles pour se concentrer sur la question de savoir quelles expositions sont réellement pertinentes pour l'entreprise en termes d'action.

Une vulnérabilité peut être un point faible technique, mais aussi une erreur de configuration, un accès non protégé, une attribution floue des actifs ou une lacune dans un contrôle de sécurité. CTEM relie ces informations techniques à la criticité métier, au contexte de menace et à la faisabilité. L’objectif du programme n’est pas de générer le plus grand nombre possible de résultats. Il vise à aider les équipes à concentrer leurs ressources limitées sur des risques dont la priorité a été établie de manière transparente.

Gartner structure le processus en cinq phases : définition du périmètre, exploration, hiérarchisation, validation et mobilisation. Cette classification est un modèle d'analyste et non une norme technique. Les organisations peuvent aligner leurs processus existants sur ce modèle sans pour autant reprendre littéralement chaque appellation. Ce qui importe, c’est le cycle : les enseignements tirés d’une phase influencent la définition du périmètre et la hiérarchisation des priorités de la phase suivante.

Dans ce modèle, l'EASM est un composant potentiel de gestion des données et de découverte. Il analyse la surface d'attaque externe selon une approche « outside-in ». L'article suivant propose une introduction à cette méthode de travail : Qu'est-ce que l'EASM ?. L'EASM ne correspond toutefois pas automatiquement à toutes les phases du CTEM.

Scoping et Discovery : les domaines dans lesquels l'EASM s'avère particulièrement utile

Le scoping permet de délimiter les domaines à examiner et d'identifier les conséquences pertinentes pour l'entreprise. Un périmètre trop large génère de nombreux résultats sans attribution claire des responsabilités. Un périmètre trop restreint peut quant à lui faire passer à la trappe des dépendances importantes. Le point de départ doit donc être une fonction métier, par exemple un portail client, un site de production ou un prestataire de services essentiel. À partir de là, il est possible d’identifier les actifs numériques et les équipes responsables.

L'EASM soutient cette phase en analysant les relations techniques visibles publiquement autour de points de départ connus. Microsoft cite les domaines, les plages d'adresses IP, les hôtes, les numéros de systèmes autonomes et les informations sur les organisations comme sources de découverte possibles. Les connexions observées donnent lieu à des candidats pour une attribution ultérieure. Ces candidats ne doivent pas être considérés comme appartenant à l'organisation sans avoir été vérifiés.

Au cours de la phase de découverte, les expositions sont identifiées au sein du périmètre sélectionné. EASM permet de recenser les hôtes inconnus, les services ouverts, les relations entre certificats et les caractéristiques de configuration observables. Il est particulièrement adapté aux expositions sur Internet qui ne sont pas répertoriées dans un inventaire interne. Cette approche ne nécessite généralement pas d'agents sur les systèmes concernés.

La vue externe ne donne qu'une image partielle. Les vecteurs d'attaque internes, les autorisations d'identité, les versions logicielles locales et les systèmes inaccessibles nécessitent d'autres sources de données. C'est pourquoi le CTEM associe souvent l'EASM à des scanners de vulnérabilités, à la gestion de la posture de sécurité dans le cloud, aux données d'identité, aux inventaires d'actifs et aux contrôles manuels. Le périmètre de l'analyse détermine les sources nécessaires.

Hiérarchisation : de la liste à un ordre motivé

Discovery peut générer plus de résultats qu'une équipe ne peut en traiter simultanément. Gartner cite notamment l'urgence, la gravité, la possibilité de correction et le risque pour l'organisation comme critères de priorisation. Un score CVSS à lui seul ne suffit pas. Il décrit les caractéristiques et la gravité d’une vulnérabilité, mais ne reflète pas automatiquement l’importance d’un actif spécifique pour un processus métier.

L'EASM peut faciliter la hiérarchisation en tenant compte du contexte. Un portail d’administration accessible depuis Internet mérite une attention différente de celle accordée à un service de test interne. Un service obsolète visible publiquement peut être pertinent s’il est associé à un processus métier critique. L’observation externe peut en outre montrer si un problème est nouveau, récurrent ou s’il reste visible après une modification.

Un classement fiable combine au moins quatre critères : la gravité technique, l'exposition réelle, l'importance stratégique pour l'entreprise et la menace actuelle. Pour l'évaluation technique, on peut utiliser un Note de sécurité fournir des données de mesure récurrentes. La notation est un indicateur d'aide à la décision, et non une autorisation suffisante à elle seule pour mettre en œuvre des mesures.

LocateRisk compare, pour les vulnérabilités concernées, les informations provenant de plusieurs sources avec la surface d’attaque observée, même si aucune évaluation NVD définitive n’est encore disponible. Ces renseignements préventifs peuvent contribuer à garantir l’actualité de la hiérarchisation des priorités. Elle ne prouve toutefois pas systématiquement l’existence d’une version logicielle concrètement vulnérable. Les signalements doivent être validés à l’aide des informations fournies par le fabricant, des données de version internes et, le cas échéant, d’un test contrôlé.

Validation : vérifier de manière ciblée les hypothèses et les mesures

Gartner définit la validation comme une simulation ou une émulation contrôlée d'une attaque, visant à comprendre comment un attaquant pourrait exploiter une vulnérabilité. Des tests d'intrusion manuels, des exercices de « red team » ou des simulations automatisées de « breach and attack » peuvent être utilisés à cette fin. Le choix dépend du risque, de la portée et du niveau de détail autorisé pour le test.

L'EASM peut fournir une évaluation préliminaire et un contrôle a posteriori. Il met en évidence les caractéristiques visibles publiquement qui méritent d'être validées. Après une modification de configuration, une nouvelle observation externe permet de vérifier si le service reste accessible ou si la caractéristique contestée apparaît toujours. Il ne s'agit pas d'une confirmation d'exploitation et cela ne remplace pas un test de sécurité autorisé.

La validation concerne également le traitement prévu. Une mesure technique peut être efficace, mais perturber un processus métier. À l’inverse, une modification simple sur le plan organisationnel peut ne réduire le risque que de façon minime. Le processus CTEM doit donc, avant la mise en œuvre, clarifier quel effet est attendu et comment celui-ci peut être mesuré. Parmi les indicateurs appropriés figurent notamment la suppression de l'accessibilité publique, l'activation d'un contrôle de sécurité ou l'acceptation documentée du risque.

Dans le cas des prestataires tiers, la profondeur de l'audit est limitée. Des éléments probants externes peuvent donner lieu à une demande d'informations et à une hiérarchisation des priorités, mais le fournisseur doit confirmer les causes internes et les mesures prises. La page Gestion des risques par des tiers montre comment les observations techniques peuvent être associées à un processus fournisseur.

Mobilisation : traduire les résultats en mesures concrètes

La mobilisation permet de relier les conclusions prioritaires à un traitement concret. Gartner insiste à cet égard sur la collaboration entre les services de sécurité, informatiques et opérationnels. Chaque constatation doit avoir un responsable, s'inscrire dans un contexte de risque clair, donner lieu à une décision et être assortie d'une échéance. Sans ces éléments, même une bonne analyse technique reste sans suite.

Un ensemble de données exploitable comprend l'actif concerné, les justificatifs externes, les répercussions possibles, les prochains contrôles recommandés, le service compétent et le statut. Les interfaces avec les systèmes de gestion des tickets ou des flux de travail permettent de réduire les ruptures de média. L'automatisation ne doit toutefois pas imposer d'affectations d'actifs ou de mesures non vérifiées. Une validation par une personne responsable reste nécessaire, en particulier pour les systèmes en production.

L'EASM facilite la communication, car les captures d'écran, les horodatages et les caractéristiques observables peuvent fournir une base factuelle commune. Un tableau de bord de gestion ne devrait pas se contenter de recenser les incidents en cours. Il est plus utile de disposer d’indicateurs relatifs à la durée de traitement, au taux de récidive, à l’exposition des services critiques et à la réduction avérée des risques.

Pour obtenir un premier point de vue extérieur structuré, on peut recourir à une Analyse des risques informatiques mettre en évidence les expositions et les responsabilités pertinentes. Le workflow qui s'ensuit détermine si cela donne lieu à une capacité CTEM. La responsabilité incombe toutefois toujours au programme.

La boucle de rétroaction assure le fonctionnement continu du CTEM

Le CTEM ne s'achève pas avec la clôture d'un ticket. Les résultats d'un cycle fournissent des données pour le suivant. Si des hôtes cloud inconnus apparaissent fréquemment, le nouveau périmètre doit inclure le processus de déploiement. Si des anomalies se répètent, une directive de configuration centralisée peut s’avérer plus efficace que des corrections ponctuelles. Si une validation contredit l’impact supposé, le modèle de priorisation doit être adapté.

La boucle de rétroaction comporte trois niveaux. Au niveau des actifs, on vérifie si l’exposition a été éliminée ou acceptée. Au niveau des processus, on évalue pourquoi elle a pu apparaître et si les contrôles sont efficaces. Au niveau du programme, on examine si le périmètre, les sources de données et les indicateurs reflètent les risques pertinents. L'EASM fournit à cet effet des observations « outside-in » récurrentes et permet de mesurer les changements au fil du temps.

Il est judicieux de commencer par un périmètre limité et axé sur l'activité, avec des responsables clairement identifiés. Documentez les cinq phases, définissez les critères d'entrée et de sortie, et mesurez le temps écoulé entre la phase de découverte et le traitement vérifié. Au bout de quelques cycles, vous verrez quelles sources de données ou procédures de validation supplémentaires sont réellement nécessaires.

Définissez également une fréquence fixe. Les changements externes critiques peuvent déclencher un contrôle immédiat, tandis que le niveau du programme est évalué, par exemple, tous les mois ou tous les trimestres. Un rendez-vous régulier doit permettre de traiter les exceptions en suspens, les constatations récurrentes, les mesures en retard et les modifications du périmètre. La fréquence dépend du risque et de la vitesse à laquelle l'environnement évolue. Un rapport annuel statique ne répond pas à l'exigence de continuité, même si la collecte des données sous-jacentes est automatisée.

Quelques indicateurs clairs permettent de mesurer la performance : le délai d'attribution d'un responsable, le délai de validation, la proportion d'expositions prioritaires traitées dans les délais et le taux de récidive. Une baisse du nombre de cas détectés ne suffit pas à elle seule à prouver le succès, car un champ d’application plus restreint ou une source de données indisponible peut également réduire ce nombre. Les indicateurs doivent donc toujours être replacés dans leur contexte en termes de champ d’application, de base de données et de domaine d’expertise.

Questions fréquentes

---

Le CTEM est-il un produit ou une catégorie de logiciels ?

Le CTEM est une approche de gestion continue. Des outils tels que l'EASM, les scanners de vulnérabilité, le CAASM ou les solutions de validation peuvent faciliter certaines phases. Les responsabilités, les règles de hiérarchisation et la gestion des risques restent toutefois du ressort de l'organisation.

---

Quelles phases du CTEM l'EASM prend-elle en charge ?

L'EASM est particulièrement utile pour l'analyse préliminaire et l'identification des vulnérabilités externes. Il peut également fournir des données d'exposition permettant de hiérarchiser les priorités et d'effectuer un contrôle externe après la mise en œuvre des mesures. La validation et la mobilisation nécessitent des procédures supplémentaires et la désignation de responsables clairs.

---

L'EASM remplace-t-il les tests de pénétration dans le processus CTEM ?

Non. L'EASM examine les actifs externes et les caractéristiques techniques. Un test d'intrusion, sous réserve d'une autorisation appropriée, permet d'analyser plus en profondeur les possibilités d'attaque concrètes. Le CTEM peut utiliser ces deux méthodes de manière ciblée pour répondre à différentes questions.

---

Comment une PME peut-elle se lancer dans le CTEM ?

Il est recommandé de définir un périmètre restreint autour d'un processus métier critique. Définissez les actifs, les responsables, les critères de priorisation, une procédure de validation et un workflow de correction contraignant. Les résultats du premier cycle permettront d'améliorer le cycle suivant.

Vous souhaitez tester la solution « Discovery » externe dans le cadre de votre processus de gestion de l'exposition ? Prenez rendez-vous avec LocateRisk pour une analyse des risques informatiques et définissez avec nous un périmètre précis.