Surveillance de la surface d’attaque exposée sur Internet (EASM)
Savoir dès qu’un actif apparaît sur Internet, avant que quelqu’un d’autre ne le trouve.
Réponse courte
Surface exposée : de quoi s’agit-il, pour qui, à quel prix ?
Cartographie et surveillance continue de ce que votre organisation expose sur Internet : domaines, sous-domaines, services ouverts, certificats, applications oubliées. Public concerné : entreprises avec plusieurs domaines, des filiales ou des marques rachetées. Durée indicative : mise en place en 1 à 2 jours, puis suivi continu. Prix d’entrée : à partir de 190 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Une surface exposée change chaque semaine. Un développeur déploie un environnement de test, un service marketing réserve un domaine, un prestataire ouvre un port pour une intervention et ne le referme pas. Un test d’intrusion annuel prend une photographie d’un instant ; ce qui s’est ajouté depuis n’a jamais été examiné par personne, sauf par ceux qui scrutent Internet en permanence.
Le dispositif part de vos domaines et de vos plages d’adresses, puis complète la liste par ce que l’on trouve autour : sous-domaines, certificats publiés, enregistrements DNS, services cloud rattachés à votre nom. Les contrôles portent sur des actifs qui vous appartiennent et qui ont été validés avec vous. À chaque passage, les nouveautés et les changements sont comparés à l’état précédent, puis qualifiés par un analyste pour éviter l’avalanche d’alertes sans objet.
Les alertes visent ce qui compte : une interface d’administration ouverte, un port de base de données joignable, un certificat qui expire, un sous-domaine pointant vers un service supprimé et réutilisable par un tiers, un environnement de test public. Le dispositif ne remplace pas un test d’intrusion, car il regarde de l’extérieur, sans authentification. Il indique en revanche où en faire un, et il évite qu’un oubli reste ouvert pendant des mois.
En résumé
- Durée indicative
- mise en place en 1 à 2 jours, puis suivi continu
- Prix
- à partir de 190 € HTpar mois, pour un périmètre défini de domaines et d’adresses ; un état des lieux ponctuel existe aussi avec le diagnostic d’exposition externe
- Référentiels appliqués
- MITRE ATT&CK (reconnaissance)NIST SP 800-115CIS Controls (inventaire des actifs)Catalogue des vulnérabilités exploitées connues (KEV) de la CISA
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Surface exposée : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Découverte des actifs
Domaines, sous-domaines, adresses, certificats publiés, services cloud rattachés à votre nom, applications dont plus personne ne se souvient.
Services et ports exposés
Ports ouverts, interfaces d’administration, bases de données, accès à distance, services de test accessibles depuis Internet.
Certificats et configuration
Certificats expirés ou sur le point de l’être, protocoles faibles, en-têtes manquants, sous-domaines pouvant être repris par un tiers.
Détection des changements
Comparaison à l’état précédent, alertes sur les nouveaux actifs et sur les services qui apparaissent ou changent de version.
Qualification par un analyste
Relecture des résultats, élimination des faux positifs, évaluation de l’exposition réelle, priorisation par exploitabilité plutôt que par volume.
Suivi et traitement
Rapport périodique, alerte immédiate sur une exposition critique, suivi de la fermeture et revérification après correction.
Surface exposée : que livre la mission ?
- Inventaire des actifs exposés, validé avec vous
- Rapport périodique des nouveautés, changements et corrections
- Alerte immédiate sur une exposition critique, avec la mesure d’atténuation à appliquer
- Tableau de suivi des actifs sans propriétaire connu
- Recommandation de test d’intrusion ciblé sur les actifs les plus sensibles
Qu’est-ce que cela change pour vous ?
- Un inventaire des actifs exposés que personne dans l’entreprise ne tenait à jour
- Les oublis traités en jours plutôt qu’en mois
- Un test d’intrusion mieux ciblé, parce que la surface est connue avant de commencer
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Surface exposée : pour qui est-ce utile ?
- Entreprises avec plusieurs domaines, des filiales ou des marques rachetées
- Équipes de développement qui déploient souvent des environnements temporaires
- Organisations qui s’appuient sur de nombreux prestataires et services en ligne
- Structures qui ne font un test d’intrusion qu’une fois par an et veulent couvrir le reste de l’année
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Surface exposée : combien de temps dure la mission ?
Durée indicative : mise en place en 1 à 2 jours, puis suivi continu. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (190 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Surface exposée : ce qu’on nous demande
Quels actifs une surveillance de surface exposée détecte-t-elle ?
Tout ce qui est joignable depuis Internet et rattaché à votre organisation : sites et applications, sous-domaines, services de messagerie, accès à distance, interfaces d’administration, bases de données ouvertes, stockage cloud public, environnements de test. Elle détecte aussi des actifs que vous aviez oubliés ou que vous ne connaissiez pas, comme un ancien site de campagne ou un sous-domaine qui pointe vers un service supprimé. Elle ne voit rien derrière une authentification.
Faut-il nous donner la liste de nos domaines pour démarrer ?
Il nous faut au moins un point de départ : le domaine principal, vos plages d’adresses si vous en avez, et les noms de marque. Le reste se découvre ensuite, et nous vous le soumettons pour validation avant de scanner, afin de ne contrôler que des actifs qui vous appartiennent. Les actifs détectés mais appartenant à un tiers, comme un hébergeur ou un prestataire, sont signalés sans être analysés.
Le contrôle continu peut-il perturber nos services ?
Les contrôles sont conçus pour être non intrusifs : identification des services et lecture des réponses publiques, sans tentative d’exploitation ni déni de service. Le rythme des requêtes est limité pour rester discret et nous pouvons l’adapter à des services fragiles. Si vous avez une protection qui bloque les adresses suspectes, nous vous indiquons les adresses sources à autoriser.
Que faire d’une alerte sur un actif que nous ne reconnaissons pas ?
D’abord retrouver qui l’a créé : le certificat, le nom, l’hébergeur et la date de première apparition donnent en général la réponse. S’il est légitime, on l’attribue à une équipe et on l’inscrit à l’inventaire. S’il est oublié, on le ferme. S’il n’est pas à vous, il peut s’agir d’une usurpation de votre nom et il faut l’examiner à part. Nous documentons chacun de ces cas dans le rapport et vérifions la fermeture.
Pour comprendre avant de décider
- ArticleBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
Quelles prestations s’y associent ?
Audit cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
2 à 12 joursdès 1 290 €
Pentest web
Savoir ce qu’un attaquant obtiendrait sur votre application.
2 à 15 jours selon le périmètredès 1 490 €
Audit Kubernetes
Savoir ce qu’un conteneur compromis permet d’atteindre dans votre cluster.
3 à 8 jours selon la taille du clustersur devis
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Surface exposée » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse