EASM (External Attack Surface Management)
L'EASM désigne la découverte et la surveillance continues de tout ce qu'une organisation expose sur Internet, vu depuis la position d'un attaquant externe.
L'External Attack Surface Management, ou gestion de la surface d'attaque externe, consiste à inventorier puis surveiller en continu tous les actifs qu'une organisation expose sur Internet : domaines et sous-domaines, adresses IP, certificats TLS, applications web, API, services cloud. La particularité de l'approche, c'est le point de vue. Un outil EASM ne demande ni agent ni accès interne : il ne voit que ce qu'un attaquant verrait, et c'est précisément ce qui fait sa valeur.
Pourquoi surveiller en continu plutôt que scanner une fois par an ? Parce que la surface bouge sans arrêt. Une équipe marketing publie un site événementiel, un développeur ouvre un environnement de préproduction, un prestataire enregistre un sous-domaine puis résilie le service derrière : chacun de ces gestes anodins crée un actif exposé que personne n'a inscrit à l'inventaire. C'est tout le problème du shadow IT, et un instantané annuel passe à côté.
Pour comprendre le sujet en profondeur, notre page pilier qu'est-ce que l'EASM détaille le fonctionnement, les cas d'usage et les critères de choix d'un outil. Et si vous voulez voir votre propre surface d'attaque, la plateforme EASM own2pwn la cartographie à partir d'un simple nom de domaine.
Ce que les textes en attendent
Aucun règlement n'emploie le sigle EASM, mais plusieurs y mènent. L'article 21.2 de la directive NIS2 impose une analyse des risques et une politique de sécurité des systèmes d'information, ce qui suppose de savoir quels systèmes on protège ; la mesure A.5.9 de l'ISO 27001:2022 demande un inventaire des actifs tenu à jour ; l'article 32 du RGPD exige de tester et d'évaluer régulièrement l'efficacité des mesures techniques. Dans les trois cas, l'inventaire de ce qui est exposé est le préalable, jamais la conclusion. Notre article sur l'EASM et la conformité NIS2 fait la correspondance point par point.
L'erreur classique : lui donner l'inventaire au lieu de le lui demander
Un scanner de vulnérabilités part d'une liste d'adresses qu'on lui fournit. Un outil EASM construit cette liste, et c'est toute la différence : il trouve le sous-domaine que personne n'avait déclaré, l'adresse d'un prestataire résilié, la préproduction restée ouverte. Beaucoup d'équipes achètent pourtant un EASM puis lui injectent leur CMDB, ce qui revient à payer un moteur de découverte pour confirmer ce qu'elles savaient déjà. Le bon réflexe est de partir du seul nom de domaine, de laisser l'outil remonter la chaîne, puis de comparer sa sortie à l'inventaire officiel. L'écart entre les deux est le vrai livrable, et il est rarement flatteur.
Questions fréquentes
Quelle différence entre EASM et gestion des vulnérabilités ?
L'EASM répond à la question de savoir ce qui est exposé, la gestion des vulnérabilités à celle de savoir ce qui est vulnérable. Le premier alimente la seconde : sans inventaire externe à jour, un programme de gestion des vulnérabilités ne couvre que le périmètre déjà connu, donc pas celui par lequel les intrusions arrivent.
Faut-il installer un agent pour faire de l'EASM ?
Non. Un outil EASM travaille depuis Internet, avec les mêmes sources qu'un attaquant : DNS, journaux de Certificate Transparency, WHOIS, moteurs d'indexation de services. C'est justement l'absence d'accès interne qui garantit que le résultat reflète ce qu'un tiers voit de vous.
À quelle fréquence faut-il rafraîchir l'inventaire ?
En continu, parce que la surface change à chaque déploiement, chaque certificat émis et chaque enregistrement DNS créé. Un inventaire trimestriel décrit un état qui n'existe déjà plus le lendemain de son édition, et l'intérêt de la démarche disparaît avec la fréquence.