Gestion des surfaces d'attaque : le guide complet
La gestion de la surface d'attaque (ASM) consiste à trouver tout ce que votre organisation expose à Internet, à évaluer chacun de ces éléments pour détecter leurs faiblesses et à les surveiller pour détecter tout changement. La partie la plus difficile est rarement l'évaluation. C'est savoir ce que l'on a.
La plupart des organisations peuvent nommer leur site Web principal et leur produit. Beaucoup moins de personnes peuvent nommer chaque sous-domaine, chaque environnement de test, chaqueserveur qu'un entrepreneur a créé il y a trois ans, et chaque certificat qui est sur le point d'expirer. Les attaquants n’ont pas besoin que vous le sachiez. Ils n’en ont besoin que d’un seul pour être faibles.
Ce guide explique ce qu'est une surface d'attaque, ce que les outils ASM vérifient réellement et pourquoi la source de votre liste d'actifs décide si l'un d'entre eux mérite d'être lu.
Qu'est-ce qu'une surface d'attaque ?
Votre surface d'attaque est tout ce qu'un étranger peut atteindre et avec lequel interagir, plustout ce qui révèle des informations sur vous. En pratique, cela signifie des domaines et sous-domaines, des applications Web, des API, des serveurs de messagerie, des ports ouverts et les services qui les sous-tendent, des certificats TLS, des enregistrements DNS et des ressources cloud avec des points de terminaison publics.
Un exemple concret
Prenez une entreprise de quatre-vingts personnes avec un seul produit.
Ils connaissent company.com et app.company.com. Leur surface d'attaque inclut également blog.company.com sur un site hébergéplate-forme à laquelle personne ne s'est connecté depuis le départ du responsable du contenu, staging.company.com qui était censé être temporaire, vpn.company.com pointant vers un appareil qui a cessé de recevoir des mises à jour, un enregistrement DNS pour old-crm.company.com pointant vers un service cloud que l'entreprise a annulé et des enregistrements de courrier permettant à quiconque d'envoyer des e-mails semblant provenir du domaine.
Rien de tout cela n’est inhabituel. C'est simplement ce qui se passe lorsqu'une organisation fonctionne pour unquelques années.
Externe versus interne
La gestion de la surface d'attaque signifie la vue de l'extérieur, c'est-à-dire ce que quelqu'un sur l'Internet public peut voir et atteindre sans informations d'identification. C'est délibérément le point de vue de l'attaquant.
Les actifs internes, les ordinateurs portables des employés et tout ce qui se trouve derrière le réseau d'entreprise constituent un problème différent traité par des outils différents. ASM ne les couvre pas, et un outil prétendant faire les deux en fait généralement un de manière superficielle.
Pourquoicontinue de croître
Les surfaces d’attaque s’agrandissent tranquillement, grâce au travail ordinaire :
- Shadow IT. Une équipe s'inscrit à un service et y pointe un sous-domaine.
- Infrastructure abandonnée. Fin des projets ; Les enregistrements DNS leur survivent.
- Élasticité du cloud. Les environnements sont créés rapidement et nettoyés lentement.
- Acquisitions et sous-traitants. Vous héritez de domaines que vous n'avez pas créés.
- Déploiement plus rapide. Plus de versions signifient plus de chances pour un paramètre deêtre abandonné sans que personne ne s'en aperçoive.
Il en résulte un écart entre ce qu’une organisation pense posséder et ce qu’elle expose réellement. ASM existe pour combler cet écart.
Qu'est-ce que la gestion des surfaces d'attaque ?
La gestion de la surface d'attaque est le processus continu de découverte des ressources accessibles sur Internet, d'évaluation de leur sécurité et de surveillance de leur évolution. Elle répond à trois questions dans l'ordre : qu'avons-nous, qu'est-ce qui ne va pas et qu'est-ce qui a changédepuis la dernière fois.
Le travail se décompose en quatre étapes :
- Découvrir. Créez l'inventaire des ressources accessibles sur Internet.
- Inventaire. Décidez lesquels d'entre eux vous appartiennent, lesquels sont importants et à qui ils appartiennent.
- Évaluer. Vérifiez chaque actif pour détecter les faiblesses, les erreurs de configuration et les vulnérabilités connues.
- Surveiller. Revérifiez selon un calendrier, car la posture se dégrade entre les déploiements.
La première étape est celle où se trouvent l'essentiel de la valeur et presque toute la difficultéen direct.
D'où vient la liste des actifs et pourquoi elle décide de tout
Deux outils peuvent effectuer des contrôles identiques et produire des rapports de valeur complètement différente, car ils ont construit leurs listes d'actifs de différentes manières.
Première approche : deviner à partir d'Internet
La plupart des outils ASM commencent par un domaine et déduisent ce qui vous appartient. Ils lisent les journaux de transparence des certificats, les enregistrements DNS passifs et les données d'enregistrement publiques, puis appliquent des heuristiques : similairenoms, adresses IP partagées, infrastructure correspondante.
Cela permet de trouver des choses que vous ne connaissiez pas, ce qui est vraiment utile. Il produit également deux modes de défaillance prévisibles :
- Des actifs qui ne vous appartiennent pas. Un hébergement partagé, une plage IP réutilisée ou un nom similaire attire l'infrastructure d'un tiers. Votre rapport contient désormais des résultats sur les serveurs de quelqu'un d'autre.
- Actifs qu'il ne trouve jamais. Tout ce qui ne laisse pas de trace publique correspondant aul'heuristique reste invisible.
Le premier mode d’échec est celui qui tue l’adoption. Une fois qu’un ingénieur découvre des actifs étrangers dans un rapport, chaque découverte devient suspecte et un outil auquel on ne fait pas confiance est ignoré. C’est une raison fréquemment citée pour laquelle les équipes abandonnent les plateformes ASM.
Deuxième approche : importer à partir de votre source de vérité
L’alternative est d’arrêter de deviner et de demander au système qui le sait déjà. Le fournisseur DNS de chaque organisation détient unliste faisant autorité de ses zones et enregistrements. Il en va de même pour l’exportation d’un fichier de zone.
Si l'inventaire provient du propre compte DNS du client, l'actif d'un tiers ne peut pas y apparaître. La liste n’est pas une meilleure estimation ; c'est un fait, extrait du système d'enregistrement. Les deux approches sont complémentaires plutôt qu’opposées. L’importation établit la vérité terrain et la découverte trouve ce qui en manque. Ce qui compte, c'est que l'outil vous dise lequel est lequel - afin que vous sachiez si un actif donné est quelque chose que vous avez déclaré ou quelque chose que l'outil considère comme le vôtre.
Ce que cela signifie en pratique
Lorsque vous évaluez un outil ASM, demandez :
- Puis-je importer des actifs depuis mon DNSfournisseur ou un fichier de zone, ou les déduit-il uniquement ?
- Le rapport me montre-t-il la provenance de chaque actif ?
- Que se passe-t-il quand ça ne va pas ? Puis-je supprimer un actif et conserver cette décision ?
- L'outil vérifie-t-il que je contrôle réellement un domaine avant de l'analyser ?
Cette dernière question est plus importante qu’il n’y paraît à première vue. Un outil qui analysera n'importe quel domaine sur demande est un service de reconnaissance pour quiconque le demande, pas un produit de sécurité. Exiger une preuvede propriété - un enregistrement DNS, un fichier sur le serveur, une balise méta - est le contrôle qui sépare les deux. Nous documentons ce processus étape par étape pour huit fournisseurs DNS, dont Cloudflare, AWS Route 53 et Azure DNS.
Ce qu'ASM vérifie une fois qu'il connaît vos actifs
Une fois leinventaire existe, l’évaluation couvre plusieurs niveaux. Chacun répond à une question différente et échoue d’une manière différente.
TLS et configuration des certificats
Si les connexions cryptées sont réellement sécurisées : quelles versions de protocole sont activées, quelles suites de chiffrement sont proposées, si le certificat est valide, correctement chaîné et n'est pas sur le point d'expirer. Les résultats courants sont les anciennes versions de protocole laissées activées, les certificats expirant sans avertissement et les chaînes de certificats incomplètes qui se rompent sur certains clients et pas sur d'autres. Ce qu'une analyse TLS examine en détail.
Sécurité HTTP et vulnérabilités connues
Si les applications Web sont configurées de manière défensive et si le logiciel qui les exécute présente des failles connues. Cela couvre les en-têtes de sécurité, les technologies détectées sur chaquehôte, et en faisant correspondre ces technologies et versions aux vulnérabilités publiées - la liste CVE.
Un CVE est une faille de sécurité cataloguée publiquement avec un identifiant unique. La comparaison des versions de vos logiciels avec ce catalogue vous indique si vous exécutez quelque chose avec une faiblesse connue et documentée. Ce qu'une analyse HTTP examine en détail.
Ports ouverts et services exposés
Quels ports réseau répondent à partir duInternet et ce qu'on écoute derrière eux. Un serveur web sur le port 443 est attendu. Une base de données, un service de bureau à distance ou une interface administrative accessible de n'importe où ne le sont pas. Ce qu'une analyse de port examine en détail.
Configuration DNS et usurpation d'e-mail
Si le DNS est configuré de manière sécurisée et si n'importe qui peut envoyer des e-mails qui semblent provenir de votre domaine. Cela couvre les enregistrements SPF, DKIM et DMARC pourl'authentification du courrier, MTA-STS et TLS-RPT pour la sécurité du transport du courrier, DNSSEC pour l'intégrité DNS et la configuration susceptible de divulguer l'intégralité de votre jeu d'enregistrements.
L’authentification manquante des e-mails est l’une des découvertes les plus courantes et l’une des plus faciles à exploiter, car elle permet un phishing convaincant contre votre propre personnel, vos clients et vos fournisseurs. Ce qu'une analyse DNS examine en détail.
Réputation du domaine
Que vos domaines et adresses apparaissent sur des listes de blocage ou dans des flux de renseignements sur les menaces. Les problèmes de réputation font surface sous forme d’échecs de délivrabilité bien avant que quiconque n’en enquête sur la cause.
Sous-domaines et hôtes oubliés
Au-delà de l'énumération, le risque spécifique ici est le prise de contrôle de sous-domaine : un enregistrement DNS pointe toujours vers un service cloud que l'organisation n'utilise plus. Quiconque prétend que ce nom de service contrôle désormais le contenu diffusé à partir de votresous-domaine, avec votre nom et souvent votre certificat.
ASM, gestion des vulnérabilités et tests d'intrusion
Ceux-ci se confondent constamment. Ils répondent à différentes questions :
| Question à laquelle il répond | Portée | Cadence | |
|---|---|---|---|
| Gestion des surfaces d'attaque | Qu’est-ce que nous exposons et est-ce faible ? | Accès Internet, non authentifié | Continu ou programmé |
| Gestion des vulnérabilités | Quels défauts connus existent dans notre domaine ? | Interne et externe, souvent authentifié | Programmé |
| Tests d'intrusion | Un attaquant expérimenté peut-il réellement entrer ? | Portée, convenue à l'avance | Périodique, généralement annuel |
L'ASM est le plus large et le moins profond. Les tests d'intrusion sontle plus étroit et le plus profond. La gestion des vulnérabilités se situe entre eux et suppose généralement que vous savez déjà ce que vous possédez – ce qui est l'hypothèse que l'ASM existe pour vous empêcher de le faire.
Ce ne sont pas des substituts. ASM indique à un pentester où chercher.
EASM, CAASM et les autres acronymes
La catégorie a rassemblé quatre acronymes qui sont utilisés comme s'ils étaient interchangeables. Ce n’est pas le cas, et la différence réside principalement dans l’endroit où se situe le les données arriventdepuis.
EASM - gestion des surfaces d'attaque externes. La vue de l'extérieur, sans informations d'identification : ce que quelqu'un sur l'Internet public peut atteindre. C'est ce que ça guide décrit, et c'est ce que fait AYAsec.
CAASM - gestion de la surface d'attaque des cyberactifs. Crée un inventaire en extraire les données d'actifs des outils que vous exécutez déjà - agents de point de terminaison, cloud comptes, fournisseurs d'identité, une CMDB - via leurs API. Il voit bien plus qu'unanalyse externe-in, ressources internes incluses, mais uniquement là où un outil est déjà installé et rapportant. Il ne peut pas voir l'hôte dont personne ne lui a parlé.
DRPS - services de protection contre les risques numériques. Surveille ce qui se passe en dehors de votre infrastructure : fuite d'informations d'identification, domaines similaires enregistrés pour usurper l'identité vous, votre marque apparaissant là où elle ne devrait pas.
CTEM - gestion continue de l'exposition aux menaces. Il ne s'agit pas d'une catégorie de produits à l'heure actuelle. tous. Il s'agit d'un modèle de programme - portée, découverte, priorisation, validation, mobilisation - et les outils ci-dessus sont des éléments que vous utiliseriez à l'intérieur. Un vendeur vous vend "Une plateforme CTEM" vous en vend une partie.
La version courte : EASM trouve ce que vous ne saviez pas avoir exposé, CAASM organise ce que vous savez déjà posséder et DRPS surveille ce que font les autres avec votre nom. Les grandes organisations finissent par en gérer plusieurs. Les plus petits commence habituellementavec le regard extérieur, car c'est là que les actifs personne ne se souvient sont.
Comment exécuter votre première analyse de surface d'attaque
Quel que soit l'outil que vous utilisez, la séquence est la même.
1. Commencez avec un seul domaine. Votre domaine principal, pas un domaine complet. Vous voulez un résultat aujourd’hui, pas un projet.
2. Prouvez que vous en êtes propriétaire. Tout outil crédible demandera une preuve avant l'analyse - généralement un enregistrement DNS TXT, un fichier sur un chemin connu ou une balise méta sur lepage d'accueil. Attendez-vous à ce que cette étape prenne le plus de temps, car cela signifie souvent demander à celui qui administre le DNS.
3. Laissez la découverte fonctionner. Vous obtiendrez une liste des sous-domaines et des hôtes associés. Lisez-le avant toute autre chose. La première véritable surprise pour la plupart des équipes n’est pas une vulnérabilité ; c'est un atout qu'ils avaient oublié.
4. Regroupez ce qui compte. Tout ce que vous trouvez ne mérite pas la même attention. Séparez la production des expériences.
5. Scanner et lireles résultats sont classés par gravité et non par nombre. Trente avertissements d'en-tête de faible gravité importent moins qu'une base de données exposée.
6. Planifiez-le. Une seule analyse est un instantané. La valeur réside dans la comparaison entre les analyses.
Ce à quoi cela ressemble au quotidien diffère selon l'équipe : voir équipes de sécurité et prestataires de services gérés.
Dans AYAsec, cela s'exécute en tant que découverte sur un domaine, puis analyse des actifs que vous conservez. Les actifs peuvent également être importés directement depuis Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner ou Contabo, ou depuis un fichier de zone téléchargé. Le flux de travail guidé est étape par étape dans la documentation.
Chaque type de numérisation est inclus dans chaque plan, y compris leun gratuit. Exécutez votre premier scan
Résultats courants et leur signification
La même poignée de problèmes explique l’essentiel de ce qui apparaît lors d’une première analyse.
Risque de prise de contrôle de sous-domaine. Un enregistrement DNS pointant vers un service que vous n'utilisez plus. Gravité : élevée. Corrigez en supprimant l'enregistrement.
Versions obsolètes du protocole TLS activées. Les anciennes versions restent pour des raisons de compatibilité et sont rarement nécessaires. Gravité : moyenne etcela fait tomber tous les systèmes de notation. Correction dans la configuration du serveur.
DMARC manquant ou mal configuré. Sans lui, n'importe qui peut envoyer du courrier semblant provenir de votre domaine. Gravité : élevée, et il s’agit d’un risque organisationnel plutôt que technique. Corrigez le problème en publiant l'enregistrement, en démarrant en mode surveillance.
Un service d'administration exposé à Internet. Bureau à distance, un port de base de données, une console de gestion. Gravité : critique. Limiterpar adresse IP ou placez-le derrière un VPN.
Un certificat sur le point d'expirer. Il ne s'agit pas d'une vulnérabilité, mais d'une panne auto-infligée à une date prévisible.
À quelle fréquence devez-vous scanner ?
La posture de sécurité se dégrade progressivement. Un en-tête disparaît dans un déploiement. Un certificat approche de son expiration. Un protocole est réactivé pour résoudre une plainte de compatibilité. Rien de tout cela n’est annoncé, et rien de tout cela ne casse quoi que ce soit visiblement. Cette érosion progressive est la raison pour laquelle une évaluation ponctuelle vieillit mal. La réponse pratique dépend de la fréquence à laquelle vous déployez : une nouvelle analyse hebdomadaire est une base de référence raisonnable pour un parc stable, une quotidienne est appropriée lorsque vous expédiez souvent, et ce qui compte plus que l'intervalle, c'est que quelqu'un soit informé lorsqu'une note baisse plutôt que d'avoir à aller voir. Découvrez comment créer la piste de preuves de remédiation.
Où cela apparaît-il dansRéglementation de l'UE
Deux textes législatifs de l'UE disent désormais, en des termes différents, qu'il faut savoir ce que tu cours.
NIS2 (Directive (UE) 2022/2555) devait être inscrit dans le droit national avant le 17 octobre 2024. L’article 21 énumère les les mesures de gestion des risques que les entités essentielles et importantes doivent prendre, et parmi eux figurent la gestion des vulnérabilités et la sécurité de la chaîne d’approvisionnement. Ni l'un ni l'autre possible pour un hôte personnea écrit.
DORA (Règlement (UE) 2022/2554) s’applique depuis le 17 janvier 2025 aux banques, assureurs, entreprises d’investissement et établissements de paiement opérant dans l’UE. L'article 8 est plus direct : financier les entités doivent identifier, classer et documenter leurs informations et leurs actifs TIC, cartographier les éléments critiques, y compris leur configuration et leurs dépendances, et examiner cette documentation àau moins une fois par an.
Lisez cette exigence par rapport à la section précédente sur l'origine de la liste des actifs. de. Un inventaire dressé par déduction est un document dont vous ne pouvez pas défendre l'entrée par entrée, car vous ne pouvez pas dire pourquoi chaque ligne y figure ni qui a décidé qu'elle était le vôtre. Un inventaire réalisé sur la zone DNS que vous contrôlez peut être expliqué à quelqu'un qui demande.
Ce que cela ne signifie pas. AYAsec n'est pas un outil de conformité et ne produire une attestation. Aucun scanner ne vous rend conforme à l'une ou l'autre des lois, et un un vendeur qui laisse entendre le contraire vous vend quelque chose. Ce qu'un scan produit est des preuves datées de ce qui a été exposé et de l'état dans lequel il se trouvait - le genre de chose demande un auditeur, et le genre de chose qui est fastidieuse à assembler à la main.
Questions fréquemment posées
La gestion de la surface d'attaque est-elle la même que celle de l'EASM ?
EASM - gestion des surfaces d'attaque externes - est leterme plus précis pour la vue externe uniquement. En pratique, la plupart des outils commercialisés sous le nom d'ASM sont des EASM. Si un fournisseur veut dire quelque chose de plus large, il doit le dire.
En avons-nous besoin si nous effectuons déjà une analyse des vulnérabilités ?
L'analyse des vulnérabilités vous informe sur les failles des actifs sur lesquels vous la pointez. ASM vous indique quels actifs existent. Si votre inventaire est incomplet, votre numérisation l’est également.
Combien de temps faut-il pour obtenir un premier résultat ?
Découverte sur unun seul domaine dure généralement quelques minutes. La partie la plus lente consiste à prouver la propriété du domaine, car cela dépend généralement de quelqu'un d'autre.
La numérisation va-t-elle casser quelque chose ?
L’évaluation externe est essentiellement passive ou à faible impact. Les tests actifs d’applications Web constituent l’exception et doivent être exécutés délibérément, sur les systèmes que vous possédez, idéalement en dehors des heures de pointe.
Pouvons-nous analyser un domaine que nous ne possédons pas ?
Non, et vous devriez vous méfier de tout outil permettanttoi. La vérification de la propriété est une fonctionnalité et non un obstacle.