Aller au contenu principal
own2pwn
Toutes les catégories

EASM

Ces articles portent sur ce qu'une organisation laisse voir d'elle-même sur internet, et presque tous s'appuient sur une mesure : le DNS de 704 organisations, les journaux de certificats du SBF 120, Shodan confronté à nos serveurs. Si le sujet est nouveau pour vous, commencez par la définition de l'EASM, puis lisez la découverte d'actifs et le subdomain takeover. Le comparatif des plateformes et le relevé de prix servent au moment de choisir un outil.

29 articles
En-têtes HTTP de sécurité : ce que servent vraiment 655 pages d'accueil
Appsec·13 min

En-têtes HTTP de sécurité : ce que servent vraiment 655 pages d'accueil

Nous avons relevé les en-têtes de 655 pages d'accueil (SBF 120, universités, communes, CHU). 257 servent encore X-XSS-Protection, que les navigateurs ignorent ; 10 ont une CSP qui bloquerait un script injecté.

MMaxime J
Faille zero-day : sur les VPN et pare-feux, quelques jours entre publication et exploitation confirmée
Appsec·13 min

Faille zero-day : sur les VPN et pare-feux, quelques jours entre publication et exploitation confirmée

Mesure sur le catalogue CISA KEV 2024-2026 : sur les VPN, pare-feux et passerelles, l'inscription suit la publication de 1 à 6 jours en médiane selon le périmètre, contre près d'un mois pour le reste du catalogue. Méthode, limites et quatre cas datés.

MMaxime J
Score CVSS : pourquoi 62 % des failles exploitées connues passent sous le seuil critique
Appsec·14 min

Score CVSS : pourquoi 62 % des failles exploitées connues passent sous le seuil critique

J'ai croisé le catalogue CISA KEV avec les scores NVD et l'EPSS : sur 1 538 failles publiées depuis 2016, 62,4 % notent sous 9.0. Ce que le score CVSS mesure, comment il se calcule, et ce qu'il laisse passer.

MMaxime J
EASM européen, sous droit UE : ce que la souveraineté change vraiment
Appsec·11 min

EASM européen, sous droit UE : ce que la souveraineté change vraiment

Un EASM produit la carte la plus sensible de votre SI. Pourquoi "datacenter en Europe" ne dit rien de la juridiction, ce que "souverain" garantit face au CLOUD Act, et ce que le MX de 704 organisations montre du poids de la maison-mère.

MMaxime J
Shodan mesuré sur nos serveurs : 15 ports exposés sur 18 retrouvés, 1 nom d'hôte sur 7
Appsec·23 min

Shodan mesuré sur nos serveurs : 15 ports exposés sur 18 retrouvés, 1 nom d'hôte sur 7

J'ai comparé ce que Shodan InternetDB publie sur trois de nos serveurs et sur scanme.nmap.org à un scan nmap : 15 ports exposés sur 18 retrouvés, 1 nom d'hôte sur 7, aucune date. Ce que Shodan indexe, comment le lire, et où il s'arrête.

MMaxime J
Usurpation d'identité d'entreprise : marque, domaine, dirigeant, et ce qu'on a mesuré chez nous
Appsec·11 min

Usurpation d'identité d'entreprise : marque, domaine, dirigeant, et ce qu'on a mesuré chez nous

Clone de site, domaine voisin, courriel forgé, faux dirigeant : les quatre formes d'usurpation d'identité d'entreprise, la posture anti-usurpation réelle de own2pwn.fr et ses trous, et l'ordre des recours.

MMaxime J
Patch management : ce que 1 447 failles du catalogue KEV disent de vos délais de correctif
Appsec·18 min

Patch management : ce que 1 447 failles du catalogue KEV disent de vos délais de correctif

J'ai mesuré le délai entre publication et entrée au catalogue KEV pour 1 447 failles, et, pour 317 d'entre elles, ce que le CERT-FR en avait dit avant. Ce que ça change pour votre patch management.

MMaxime J
Credential stuffing : la mécanique, les défenses qui tiennent, et ce que la CNIL sanctionne désormais
Appsec·17 min

Credential stuffing : la mécanique, les défenses qui tiennent, et ce que la CNIL sanctionne désormais

Le credential stuffing rejoue de vrais mots de passe volés ailleurs. 674 fuites du catalogue HIBP en exposent, et la CNIL retient une journalisation ou une détection insuffisante dans 6 de ses 8 sanctions sécurité publiées depuis 2024.

MMaxime J
Outils OSINT : quel outil pour quelle brique de la collecte
Featured
Appsec·21 min

Outils OSINT : quel outil pour quelle brique de la collecte

Les outils OSINT gratuits rangés par objectif de collecte plutôt que par type d'entrée, comme le fait OSINT Framework : ce que chacun trouve, ce qu'il rate (mesuré sur nos serveurs pour l'index gratuit de Shodan), et où s'arrête la loi.

MMaxime J
Scanner de vulnérabilité : quel outil pour quel besoin, et ce qu'il prouve vraiment
Appsec·18 min

Scanner de vulnérabilité : quel outil pour quel besoin, et ce qu'il prouve vraiment

Les cinq familles de scanners de vulnérabilité, et sept configurations de scanners web mesurées sur notre banc : en tout, 14 failles prouvées sur 27, une seule derrière un login.

MMaxime J
Cyberattaque hôpital : ce que 32 CHU et CHR montrent d'eux-mêmes sur internet, et par où les attaques entrent
Appsec·16 min

Cyberattaque hôpital : ce que 32 CHU et CHR montrent d'eux-mêmes sur internet, et par où les attaques entrent

DMARC, SPF, HSTS, CSP, TLS 1.3, DNSSEC : la posture publique de 32 CHU et CHR mesurée le 6 octobre 2026, puis les cas français dont le point d'entrée a été rendu public, qui passent tous par un accès légitime joignable depuis internet.

MMaxime J
Fuite de données : ce que la CNIL sanctionne vraiment, et quoi faire en 72 heures
Appsec·17 min

Fuite de données : ce que la CNIL sanctionne vraiment, et quoi faire en 72 heures

On a relu les 31 sanctions de la CNIL pour défaut de sécurité et 1 041 fuites du catalogue HIBP. Une sanction sur deux ne suit aucune fuite, 22 visent les mots de passe. Et les 72 heures.

MMaxime J
Pentest25Conformité20NIS213DevSecOps10Fuite de données7Vulnerability Management7