Méthode
EASM
Aussi appeléExternal Attack Surface ManagementGestion de la surface d’attaque externeSurveillance de surface exposée
En résumé
La découverte et la surveillance continues des actifs d’une organisation visibles depuis Internet : domaines, sous-domaines, services ouverts, certificats, applications oubliées. L’EASM (External Attack Surface Management) regarde de l’extérieur, comme un attaquant, et signale les nouveautés et les changements.
EASM, en détail
Le principe est de reconstituer, à partir de quelques points de départ comme vos noms de domaine et vos plages d’adresses, tout ce que l’organisation expose sans le savoir. La découverte s’appuie sur des sources publiques : enregistrements DNS, certificats publiés, résolution inverse, services cloud rattachés à un nom. Elle est répétée régulièrement et chaque résultat est comparé au précédent, ce qui distingue l’EASM d’un scan ponctuel.
On y trouve les cas classiques de dérive : un environnement de test déployé et jamais supprimé, un sous-domaine qui pointe vers un service cloud résilié et peut être repris par un tiers, une interface d’administration ouverte à tout Internet, un port de base de données laissé par un prestataire, un certificat expiré. Ces actifs ne figurent dans aucun inventaire, puisque personne n’en a la charge, mais l’attaquant les trouve avec les mêmes sources.
L’EASM a une limite nette : il ne voit rien derrière une authentification ni à l’intérieur du réseau. Il complète le test d’intrusion, qui va en profondeur, avec la largeur et la fréquence qui lui manquent. Un bon dispositif ajoute une relecture humaine, car la valeur est dans le tri : sans lui, l’outil produit un volume d’alertes que personne ne lit.
Qu’est-ce que cela change pour vous ?
L’EASM transforme une surface que l’on découvre après un incident en une surface que l’on connaît chaque semaine. Il réduit le délai entre l’apparition d’un oubli et sa fermeture.
Exemple illustratif (fictif)
Imaginons une équipe marketing qui monte un site de campagne sur un domaine acheté pour l’occasion, puis l’abandonne avec un formulaire de contact encore actif. Un contrôle périodique le détecte, signale qu’aucun propriétaire n’est connu, et le site est fermé avant qu’un tiers le repère.
La confusion fréquente
Confondre EASM et scan de vulnérabilités. Le scan teste des actifs que vous lui indiquez ; l’EASM cherche d’abord ceux que vous ne connaissez pas. Un parc scanné à la perfection peut laisser dehors un serveur oublié que personne n’a indiqué.
Quelles prestations s’appuient sur ce terme ?
- Surface exposée : la prestationSavoir dès qu’un actif apparaît sur Internet, avant que quelqu’un d’autre ne le trouve.
- Audit Kubernetes : la prestationSavoir ce qu’un conteneur compromis permet d’atteindre dans votre cluster.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- TechniqueSurface d’attaque : définitionL’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début