La surface d’attaque externe d’une organisation, c’est l’ensemble de ce qui est visible depuis Internet : domaines, sous-domaines, services accessibles, certificats, ports ouverts. Elle grandit avec les sites, les outils en ligne et les prestataires, souvent sans que le service informatique le sache.
Ce qu’est la gestion de la surface d’attaque externe
La gestion de la surface d’attaque externe (en anglais EASM, pour External Attack Surface Management) consiste à recenser ces éléments depuis l’extérieur, comme le ferait n’importe qui sur Internet, puis à les classer et à corriger ce qui doit l’être.
Elle se distingue d’un scan de vulnérabilités interne. Le scan interne part de l’inventaire que l’on connaît déjà. La vue externe permet de trouver ce qui n’a jamais été inscrit dans un inventaire.
Ce qu’elle voit, et ce qu’elle ne voit pas
Elle voit ce qui est public : les noms de domaine déclarés dans le DNS, les certificats publiés, les services qui répondent sur Internet.
Elle ne voit pas ce qui est interne, ni ce qui n’est accessible que par un compte. Elle ne remplace donc ni l’inventaire des actifs ni la revue des accès. Elle les complète.
Les premières étapes
- Inventorier les domaines connus. Listez les domaines principaux, les sites de services et les domaines des prestataires qui hébergent quelque chose en votre nom.
- Chercher ce qui n’est pas listé. Parcourez les sous-domaines publics et les certificats émis à votre nom. Un sous-domaine de test oublié se trouve souvent ainsi.
- Vérifier la propriété. N’analysez que les domaines dont vous êtes responsable, ou pour lesquels vous avez une autorisation écrite.
- Prioriser. Un service d’administration exposé passe avant une page vitrine à jour.
- Corriger puis surveiller. Fermez ce qui doit l’être, puis répétez la découverte à intervalle régulier, car la surface change.
Où en est notre outil
Atlas est le premier produit de Range Zero. Il automatise la découverte décrite ci-dessus. Il est en développement et n’est pas encore ouvert au public. Vous pouvez demander un accès à l’alpha.