Ce qu'est la surveillance de la surface d'attaque externe (et ce qu'elle n'est pas)

La surveillance de la surface d'attaque externe consiste à identifier et à vérifier en continu tout ce que votre entreprise expose sur Internet : domaines, sous-domaines, enregistrements DNS, certificats TLS, réglages de messagerie, sites web, ports ouverts et services qui se trouvent derrière. Elle regarde votre entreprise depuis l'extérieur, comme le fait un attaquant avant de choisir une cible, et répète cet examen chaque jour pour qu'aucun changement ne passe inaperçu.

La réponse courte à la question « qu'est-ce que c'est » : un inventaire à jour de vos actifs exposés sur Internet, complété par des vérifications continues de ces actifs à la recherche de faiblesses connues et de changements inattendus. Elle n'installe rien sur vos ordinateurs ou vos serveurs et n'a besoin ni de mots de passe ni d'accès au réseau.

L'idée n'est pas nouvelle. Dans le framework MITRE ATT&CK, la reconnaissance est la première tactique, décrite comme la tentative de l'adversaire de « recueillir des informations qu'il peut utiliser pour planifier de futures opérations ». Surveiller votre propre surface externe, c'est faire cette reconnaissance en premier, à vos conditions.

Ce qui compose votre surface d'attaque externe

La plupart des entreprises sous-estiment tout ce qu'elles ont en ligne. Une liste typique comprend :

• Les domaines que vous possédez, y compris les anciens domaines de campagne et les variantes par pays, avec leur registrar et leurs dates d'expiration.
• Les enregistrements DNS : A, AAAA, CNAME, MX, TXT et serveurs de noms (NS). Un seul CNAME erroné peut livrer un sous-domaine à quelqu'un d'autre (voir prise de contrôle de sous-domaine).
• Les certificats TLS de chaque nom d'hôte, avec leurs émetteurs et leurs dates d'expiration.
• L'authentification des e-mails : les enregistrements SPF, DKIM et DMARC qui déterminent si quelqu'un peut envoyer des e-mails qui ressemblent aux vôtres.
• Les sites et applications web, y compris les hôtes de préproduction, de test et d'administration censés être temporaires.
• Les ports et services ouverts : bureau à distance, SSH, bases de données, serveurs de messagerie, passerelles VPN.
• Ce qui utilise votre nom sans être sous votre contrôle : domaines sosies, fausses pages de connexion, identifiants divulgués.

Comment la surface grandit sans que personne ne s'en aperçoive

Très peu de ces éléments sont créés volontairement comme « surface d'attaque ». Ils s'accumulent au fil du travail normal. Un développeur monte staging.example.com pour une version. Le marketing enregistre example-offer.com pour une campagne. Une agence fait pointer shop.example.com vers une plateforme hébergée et le contrat se termine 2 ans plus tard. Chaque étape est raisonnable. Le problème, c'est que personne n'est responsable de la liste.

Certificate Transparency rend cela visible. Comme les certificats reconnus par les navigateurs sont journalisés (le protocole est décrit dans la RFC 9162), n'importe qui peut rechercher dans ces journaux les noms situés sous votre domaine. Pour en savoir plus : les journaux Certificate Transparency expliqués.

Comment vérifier votre propre surface dès aujourd'hui

Vous pouvez obtenir une première image en moins d'1 heure avec des outils standard.

1. Listez les noms d'hôte qui ont déjà eu un certificat. Recherchez %.yourcompany.com sur crt.sh et exportez les noms.
2. Résolvez chaque nom et notez vers où il pointe :

dig +short staging.yourcompany.com
dig +short CNAME shop.yourcompany.com
dig NS yourcompany.com +short

1. Vérifiez l'authentification des e-mails :

dig +short TXT yourcompany.com
dig +short TXT _dmarc.yourcompany.com

1. Ouvrez chaque nom d'hôte dans un navigateur. Notez tout ce que vous ne reconnaissez pas, tout ce qui affiche une page de serveur par défaut, un formulaire de connexion inattendu ou un certificat expiré.
2. Vérifiez le registrar et la date d'expiration de chaque domaine avec whois yourcompany.com.

Tout ce que vous trouvez sans responsable clairement identifié est la première chose à corriger ou à désactiver.

Ce que la surveillance de la surface d'attaque externe n'est pas

Il vaut la peine d'être précis, car le terme est souvent étiré.

• Ce n'est pas un test d'intrusion. Un test d'intrusion tente activement de pénétrer dans les systèmes, nécessite une autorisation écrite et se déroule sur une période définie. La surveillance observe et signale ; elle ne tente d'exploiter quoi que ce soit.
• Ce n'est pas une protection des postes de travail. Les outils EDR et XDR fonctionnent à l'intérieur de votre réseau et surveillent processus et connexions. La surveillance externe voit ce qui est visible avant que quoi que ce soit n'atteigne votre réseau. Les deux points de vue se complètent, comme l'explique notre article surveillance de la surface d'attaque ou EDR et XDR.
• Ce n'est pas un scan ponctuel. Un rapport du printemps dernier décrit le printemps dernier. La valeur vient de la détection des changements : un nouveau sous-domaine, un serveur de noms modifié, un certificat que personne n'a demandé.
• Ce n'est pas une liste de chiffres alarmants. Un constat utile dit ce qui a été trouvé, pourquoi c'est important et exactement comment le corriger.

Une courte liste de contrôle

• Tenez une liste unique de chaque domaine et de son responsable, avec renouvellement en paiement automatique.
• Passez en revue le DNS à la recherche d'enregistrements qui pointent vers des services que vous n'utilisez plus.
• Assurez-vous que chaque nom d'hôte exposé a un certificat valide et un responsable.
• Publiez SPF, DKIM et DMARC, et faites évoluer DMARC vers une politique appliquée.
• Fermez à Internet les ports de bureau à distance et de bases de données.
• Supprimez ou protégez les hôtes de préproduction et de test (voir serveurs de préproduction et de test oubliés).
• Répétez cet examen de façon planifiée, pas seulement après un incident.

La place de Datahorses

Datahorses réalise cet examen chaque jour. Nous surveillons votre entreprise depuis l'extérieur, voyons ce qu'un attaquant peut voir et envoyons chaque constat, examiné par un spécialiste, avec les étapes de correction exactes pour votre développeur. Nous n'entrons pas dans vos systèmes et n'avons besoin d'aucun accès ; la liste complète de ce que nous surveillons figure sur la page d'accueil, et vous pouvez consulter un tableau de bord d'exemple complet.