Fjordex vs Shodan vs Nessus : à quoi sert chacun ?

Les trois outils comparés dans un seul tableau

Shodan : le moteur de recherche d'internet

Shodan scanne internet en permanence et indexe les appareils et les bannières de services qu'il trouve. Il répond en quelques secondes à une question comme « quelles IP ont le port 3389 ouvert et tournent sous Windows Server 2012 ». Sa force, c'est sa couverture : internet tout entier. Sa faiblesse est la même : il n'est pas spécifique à votre organisation. Shodan ne vous dit pas « voici votre attack surface » ; les données peuvent être anciennes et leur interprétation vous revient. Comme c'est aussi le premier endroit où regardent les attaquants, Shodan fait partie des sources qui alimentent la découverte ; Fjordex y ajoute une validation ciblée, à jour et autorisée, la correspondance CVE et le rapport.

Nessus : le scanner de vulnérabilités authentifié

Nessus (Tenable) se connecte à vos propres systèmes, détecte les versions des services en cours d'exécution et les compare à une base de vulnérabilités connues. Il produit des numéros CVE, des scores CVSS et une liste de patches manquants. Il donne ses meilleurs résultats en mode authentifié (credentialed), c'est-à-dire sur le réseau interne ; sa sortie est en anglais et compte généralement des centaines de lignes. Pour une équipe informatique interne, il est indispensable. Fjordex ne remplace pas Nessus, il le complète : Nessus pour l'analyse CVE interne approfondie, Fjordex pour l'attack surface externe, la posture AD et la couche de décision (priorisation, delta, rapport en turc signable). Parce qu'il s'agit d'un scan actif, Nessus demande des précautions sur les systèmes sensibles (équipements hospitaliers, anciens systèmes de contrôle industriel) ; dans de rares cas, il peut provoquer une interruption de service.

Fjordex : le moteur d'évaluation et le connector

Fjordex opère sur deux plans. Le plan externe cartographie les actifs de l'organisation exposés sur internet : découverte passive (sous-domaines, journaux Certificate Transparency, SPF/DKIM/DMARC, domaines lookalike) et découverte active limitée par une autorisation écrite (services actifs, ports, posture TLS, panneaux exposés, subdomain takeover). Les versions de services découvertes sont comparées à un jeu de données CVE issu de la NVD ; la sévérité est calculée à partir du vecteur CVSS, jamais attribuée à la main. Le plan interne est une revue authentifiée, en lecture seule, de la posture de sécurité Active Directory : politique de mots de passe faible, risques Kerberoast / AS-REP, mauvaises configurations ADCS et cartographie du chemin vers Domain Admin ; aucun chemin n'est jamais exécuté.

Chaque exécution passe par une validation d'autorisation unique : sans référence d'autorisation écrite ni fenêtre de test, l'analyse ne démarre pas, et les actifs hors périmètre ne sont jamais scannés. Le résultat est un rapport en turc signable, un rapport delta indiquant ce qui a changé depuis l'exécution précédente, et un rapport de surveillance mensuel ; le corps du rapport provient uniquement du moteur.

Le connector Fjordex (MCP) est l'aperçu passif de ce moteur : sécurité e-mail, hygiène DNS, découverte de sous-domaines et vérification des domaines lookalike. Il ne se connecte pas à vos systèmes et ne nécessite aucune installation ; il suffit d'une phrase comme « vérifie la sécurité e-mail de arvenova.ai ».

Ce que Fjordex n'est pas

C'est la section la plus importante, car les fausses attentes sont l'erreur la plus coûteuse en matière de sécurité.

• Il ne remplace pas Nessus. Fjordex effectue une correspondance CVE basée sur les versions, mais ne vise pas la vaste base de plugins internes authentifiés de Nessus. « Le connector n'a rien trouvé » ne signifie pas « nos systèmes n'ont aucune vulnérabilité » ; cela signifie seulement qu'aucun problème n'est visible dans les données DNS et de certificats publiques.
• Ce n'est ni un SOC ni une surveillance 24/7. Il ne détecte pas les attaques en temps réel et n'assure pas de réponse aux incidents. Le produit de surveillance est une nouvelle analyse périodique accompagnée d'un rapport delta mensuel.
• Ce n'est pas un test d'intrusion. Fjordex évalue ; le complément de validation manuelle des constats vérifie à la main les constats critiques sous autorisation écrite, avec des preuves masquées dans une annexe signée. Il n'y a ni simulation d'attaque ni mouvement latéral.
• Ce n'est ni un RMM ni un EDR. Il n'installe aucun agent sur vos appareils, ne surveille pas les postes de travail et ne déploie pas de patches.
• Ce n'est pas le LLM qui décide. Le scan, la sévérité et la priorisation sont entièrement déterministes : même entrée, même rapport. Un modèle de langage n'est utilisé que pour la synthèse de direction optionnelle, en local et en boucle fermée ; si une IP, une CVE ou une sévérité citée dans la synthèse n'existe pas dans les données sources, la phrase n'est pas retenue dans le rapport. Dans le connector également, l'assistant se contente d'appeler l'outil et d'expliquer le résultat.
• Ce n'est pas un rapport signé. La sortie du connector est un aperçu automatisé. Le document destiné à un audit, un assureur ou un appel d'offres est le rapport signé avec revue humaine (Niveau 1 et au-delà).

Lequel utiliser, et quand ?

• Vous avez vos propres serveurs et voulez connaître l'état de vos patches : Nessus ou un équivalent, avec votre propre équipe ou un consultant.
• Vous voulez savoir comment un attaquant vous voit et ce qui est exposé sur internet : des requêtes Shodan, idéalement avec un expert à vos côtés.
• Vous voulez l'ensemble de la surface externe dans un rapport signé et priorisé : l'évaluation Niveau 1 d'ArveNova (à partir de 2 200 €, selon le périmètre). Pour la posture Active Directory, le Niveau 3.