Qu'est-ce qu'une analyse de l'attack surface externe, qui en a besoin et combien coûte-t-elle ?

Qu'est-ce que l'attack surface, exactement ?

L'attack surface correspond à l'ensemble des points d'entrée qu'un attaquant pourrait tenter d'utiliser pour vous atteindre. L'attack surface interne couvre les systèmes accessibles de l'intérieur, comme les postes du personnel, le réseau interne et Active Directory. L'attack surface externe est la partie visible par n'importe qui sur internet :

• Domaines et sous-domaines (y compris les enregistrements oubliés comme vpn., mail., test., old-portal.)
• Ports ouverts et services qui y tournent (RDP, SSH, bases de données, administration à distance)
• Applications web, panneaux d'administration, points de terminaison d'API
• Infrastructure de messagerie : enregistrements SPF, DKIM et DMARC, et risque d'usurpation lorsqu'ils sont absents
• Certificats TLS, y compris ceux qui ont expiré ou sont mal configurés
• Domaines lookalike / typosquat qui imitent votre marque

La plupart des attaques ne commencent pas par un zero-day sophistiqué, mais par un élément oublié de cette liste : un boîtier VPN sans patch, un domaine sans DMARC, un serveur de test dont plus personne ne se souvient.

Comment se déroule l'analyse, et peut-elle endommager nos systèmes ?

Il existe deux modes, et la différence entre eux est importante :

L'évaluation passive lit uniquement des sources publiques : enregistrements DNS, journaux Certificate Transparency, WHOIS, moteurs de recherche. Aucun paquet n'est envoyé à vos systèmes : elle ne nécessite donc aucune autorisation et ne présente aucun risque d'interruption. Le connector Fjordex (MCP) fonctionne dans ce mode.

L'évaluation active réalise un scan de ports, la détection des versions de services et la mise en correspondance avec des CVE connues ; elle se connecte à vos systèmes mais n'exécute aucun exploit. Elle nécessite une autorisation écrite, et la fenêtre de test est convenue ensemble.

Au-delà vient la validation d'intrusion : une validation manuelle et non destructive des constats critiques. Cette étape n'est réalisée que dans le cadre de Rules of Engagement (règles d'engagement) et d'un NDA signés, et fait l'objet d'une tarification distincte.

Qui devrait en faire une ?

La règle est simple : si vous avez quoi que ce soit d'exposé sur internet, vous avez une attack surface externe, et quelqu'un la scanne déjà. Les cas les plus urgents sont les suivants :

• PME (Chypre du Nord et Turquie) : La plupart n'ont pas d'équipe informatique, l'infrastructure est répartie entre plusieurs prestataires externes et personne n'a de vue d'ensemble. Les constats les plus fréquents : de fausses factures peuvent être envoyées par e-mail au nom de l'entreprise faute de DMARC, RDP est exposé sur internet, et des sous-domaines n'ont pas de responsable clairement identifié.
• Universités : Des dizaines de facultés, des centaines de sous-domaines, des projets étudiants, des services arrêtés mais toujours présents dans le DNS. L'attack surface est vaste et dispersée ; dresser l'inventaire a déjà une valeur en soi.
• Hôpitaux et cliniques : Données de patients, obligations KVKK/RGPD et activités qui ne tolèrent aucune interruption. Le fait qu'une analyse passive n'affecte absolument aucun système constitue ici un avantage décisif.
• Municipalités et organismes publics : Services aux citoyens, forte dépendance à la correspondance par e-mail et risque pour la réputation.
• Organisations soumises à des exigences de cyberassurance ou d'appels d'offres : Les assureurs et les grands clients demandent de plus en plus souvent un rapport d'évaluation externe indépendant.

Combien cela coûte-t-il ? Les tarifs ArveNova

Les montants ci-dessous sont des prix de départ, en EUR et hors TVA. Le prix définitif est communiqué par écrit une fois le nombre d'actifs et le périmètre confirmés lors d'un échange de cadrage. Les niveaux peuvent être souscrits séparément ou ensemble ; chaque mission commence par un périmètre écrit et une autorisation signée (ROE).

De quoi dépend le prix ? Côté externe, du nombre d'actifs visibles depuis internet : domaines, sous-domaines, IP publiques et services. L'effectif ou le nombre d'ordinateurs ne détermine pas directement le prix externe ; le Niveau 3 (Active Directory) est tarifé selon le nombre d'utilisateurs et de campus, le Niveau 2 selon le nombre de plateformes.

Test d'intrusion : une prestation distincte, hors des niveaux ci-dessus. Le scénario, la méthodologie et les livrables sont définis par écrit pour chaque projet ; le périmètre et le prix sont fixés dans le devis. Demander un devis.

Surveillance continue : surveillance 24/7 via un agent installé sur vos endpoints, un service distinct du Niveau 4. Le périmètre, la date de démarrage et le prix sont fixés dans le devis. Demander un devis.

À quoi ressemble le rapport ? Un exemple de constat

Chaque constat suit la même structure : titre, sévérité (calculée à partir du vecteur CVSS, jamais attribuée à la main), degré de confiance, preuve, point de vue de l'attaquant (RED) et correctif (BLUE). Un exemple de format tiré du rapport signé (il ne s'agit pas d'une exécution réelle) :

[F-03] Composant web obsolète, Apache httpd 2.4.49
  Sévérité : Critique (CVSS 9.8, source principale NVD)
  CVE : CVE-2021-41773 · CWE-22
  Confiance : CONFIRMED · Actif : https://target.example:443
  RED : Traversée de répertoires, conditions de lecture de fichiers à distance.
  BLUE : Mettre à niveau vers la version 2.4.51 ou ultérieure.

La correspondance CVE consiste à comparer la version de service détectée avec un jeu de données CVE issu de la NVD ; les correspondances qui reposent sur une plage de versions sont tenues à part avec la mention « non confirmé », et les actifs situés derrière un hébergement mutualisé ou un CDN ne sont pas mis en correspondance avec des CVE. Le second exemple ci-dessous provient d'une vérification de sécurité e-mail effectuée avec le connector Fjordex :

{
  "id": "email.dmarc_missing",
  "title": "Aucun enregistrement DMARC",
  "severity": "high",
  "evidence": "Aucun enregistrement TXT trouvé pour _dmarc.example-company.com.",
  "recommendation": "Commencez par le reporting avec p=none, passez à p=quarantine après 2-4 semaines, puis à p=reject.",
  "category": "email"
}

Ce que signifie cette seule ligne : à l'heure actuelle, n'importe qui peut envoyer de fausses factures à vos clients depuis accounts@example-company.com, et les serveurs de messagerie destinataires ne les rejetteront pas. Le correctif tient en un seul enregistrement DNS, mais si personne ne le signale, la faille reste ouverte pendant des années.

À quelle fréquence faut-il la renouveler ?

L'attack surface externe n'est pas figée : un nouvel abonnement SaaS, un sous-domaine ouvert pour une campagne marketing, un changement d'hébergeur, tout cela modifie la surface. Conseil pratique : une évaluation complète par an (Niveau 1), avec une surveillance delta mensuelle entre deux évaluations (Niveau 4). Pour les surfaces étendues comme celles des hôpitaux et des universités, une surveillance mensuelle vaut davantage qu'une analyse ponctuelle, car les problèmes apparaissent généralement dans les éléments « nouvellement ouverts ».