Technique
Surface d’attaque
Aussi appeléAttack surfaceExposition externeSurface d’exposition
En résumé
L’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs. Plus elle est large et mal connue, plus il est difficile de la défendre.
Surface d’attaque, en détail
On distingue la surface externe, visible depuis Internet (sites, API, messageries, accès distants, interfaces d’administration, stockages en ligne), la surface interne, accessible à partir d’un poste ou d’un compte déjà compromis, et la surface humaine, celle des collaborateurs exposés à l’hameçonnage : définition ou à l’ingénierie sociale : définition. S’y ajoute la surface des fournisseurs et des composants logiciels dont dépend l’organisation.
La difficulté tient à ce qu’on ne protège bien que ce que l’on connaît. Les sites oubliés après une campagne, les environnements de test ouverts, les domaines acquis lors d’une fusion, les services cloud créés par une équipe sans validation (le « shadow IT ») constituent une surface inconnue de l’équipe de sécurité mais visible des attaquants, qui la cartographient par des outils automatiques. Réduire la surface d’attaque consiste à inventorier ce qui est exposé, à supprimer ce qui n’a pas de raison de l’être, à placer l’administration derrière un accès restreint et à surveiller en continu les changements d’exposition. Chaque service retiré est un risque en moins, sans aucun coût de détection ni de correction futur.
Qu’est-ce que cela change pour vous ?
On ne peut décider de rien sur ce qu’on ne voit pas : l’inventaire de l’exposition est le préalable à la priorisation. Supprimer un service inutile est la mesure de sécurité la moins chère et la plus durable.
Exemple illustratif (fictif)
Prenons l’inventaire de l’exposition externe d’une société de 250 personnes. Il pourrait faire apparaître un environnement de recette oublié, ouvert sur Internet, qui contient une copie de la base de production et une interface d’administration protégée par un mot de passe par défaut.
La confusion fréquente
Assimiler la surface d’attaque au seul site web de l’entreprise. Les accès distants, les messageries, les API, les services cloud, les comptes de fournisseurs et les personnes en font partie, et ce sont souvent ceux qui échappent à l’inventaire.
Comment le détecter chez vous ?
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
- Audit cloud : la prestationDans le cloud, la plupart des incidents partent d’une mauvaise configuration.
Aller plus loin
- ArticleCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- AttaqueChaîne d’approvisionnement logicielle : définitionL’attaque qui vise un composant, un outil ou un fournisseur dont dépend un logiciel, plutôt que le logiciel lui-même.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début