L'EASM en clair : définition, fonctionnement, et ce qui le distingue d'un scanner ou d'un pentest. Comment cartographier votre surface d'attaque externe et qui en a besoin.
Un scan crache 4 000 findings, 600 en "critique". Par où commencer ? La gestion des vulnérabilités n'est pas un scan : c'est un cycle de vie et une priorisation. On démonte le processus, et pourquoi CVSS seul ne suffit plus (EPSS, KEV, exposition).
"On a fait un scan, on est bon." Spoiler : non. Test d'intrusion, scanner de vulnérabilités et EASM répondent à trois questions différentes. On démêle tout : automatisé vs humain, faux positifs, exploitabilité, et lequel choisir.
Le sous-domaine de campagne oublié, le bucket S3 d'un prestataire parti, l'API de staging temporaire de 2021 : voilà votre vraie surface d'attaque. Comment cartographier le shadow IT et découvrir les actifs exposés via EASM, OSINT et certificate transparency.