Surface d'attaque
La surface d'attaque regroupe tous les points d'entrée qu'un attaquant peut viser : services exposés, applications, API, comptes, dépendances et facteur humain.
La surface d'attaque d'une organisation, c'est l'ensemble des points par lesquels un attaquant peut tenter d'entrer : chaque service accessible, chaque application, chaque API, chaque compte, chaque dépendance logicielle en fait partie. On distingue la surface interne, accessible depuis le réseau de l'entreprise, et la surface externe, exposée sur Internet : domaines, sous-domaines, adresses IP, ports ouverts, applications web, buckets de stockage cloud.
Cette surface ne cesse de grandir, et c'est structurel. Le cloud a rendu la création d'un actif exposé aussi simple qu'un clic, le télétravail a multiplié les accès distants, et les intégrations SaaS ajoutent des points d'entrée que la DSI ne contrôle pas toujours. Or on ne peut protéger que ce que l'on connaît : la première étape de toute réduction de la surface d'attaque est donc un inventaire exhaustif, que nous détaillons dans notre article sur la découverte d'actifs exposés.
Une fois l'inventaire établi, encore faut-il le maintenir à jour, car la surface d'hier n'est pas celle de demain. C'est le rôle de la surveillance continue de la surface d'attaque, qui détecte chaque nouvel actif ou changement de configuration dès son apparition.
Surface, vecteur, vulnérabilité : trois mots qu'on confond
On les emploie souvent l'un pour l'autre, à tort. La surface d'attaque est l'ensemble des points par lesquels on peut tenter d'entrer. Un vecteur d'attaque est le chemin effectivement emprunté : hameçonnage, exploitation d'un service exposé, compte volé. Une vulnérabilité est le défaut précis qui rend un point de la surface franchissable. La distinction n'est pas scolaire, elle décide de ce qu'on finance. Réduire la surface, en fermant un port ou en retirant un service public, est structurel et durable ; corriger une vulnérabilité est ponctuel, et la surface, elle, reste. C'est aussi ce que cherche à établir un exercice de threat modeling mené avant d'écrire du code.
Ce que ça change pour une PME
Une PME n'a ni le budget ni le temps de traiter chaque finding, et la file d'attente triée par sévérité l'envoie droit dans le mur. Le tri qui tient compte de la réalité se fait par exposition : ce qui est joignable depuis Internet sans authentification passe devant tout le reste, quel que soit le score. Trois gestes rapportent alors plus que n'importe quel outil : fermer les interfaces d'administration ouvertes au public, retirer les environnements de recette accessibles, et supprimer les enregistrements DNS orphelins avant qu'ils ne deviennent des subdomain takeovers. Le reste peut attendre le prochain pentest web blackbox.
Questions fréquentes
Comment mesure-t-on une surface d'attaque ?
Il n'existe pas d'unité universelle. En pratique on compte des objets : domaines et sous-domaines qui résolvent, adresses IP actives, ports ouverts, applications web distinctes, accès distants. Ce qui compte n'est pas le chiffre absolu mais sa tendance dans le temps, et la part d'actifs que personne n'avait déclarés.
Réduire sa surface d'attaque, est-ce que ça suffit ?
Non, mais c'est ce qui coûte le moins cher au regard du risque évité. Un service qui n'est pas exposé n'a pas besoin d'être patché en urgence, ni surveillé, ni testé. La réduction ne remplace ni la détection ni les tests, elle diminue simplement le volume de choses à défendre.
La surface d'attaque inclut-elle les prestataires ?
Oui, dès qu'ils hébergent un actif à votre nom ou détiennent un accès à vos systèmes. Un sous-domaine qui pointe vers un SaaS, un accès de maintenance, un dépôt de code partagé font partie de votre exposition, même si l'infrastructure ne vous appartient pas.