Surface d'attaque
Ensemble des points par lesquels un attaquant peut tenter d'entrer dans le système d'information ou d'en extraire des données.
Définition complète
La surface d'attaque désigne, selon le NIST, l'ensemble des points situés à la frontière d'un système, d'un composant ou d'un environnement où un attaquant peut tenter d'entrer, de produire un effet ou d'extraire des données.
Pour une entreprise, elle comprend les services exposés sur Internet (site web, messagerie, VPN, bureau à distance), les comptes utilisateurs et leurs mots de passe, les applications en ligne, les équipements nomades, les objets connectés, les accès des prestataires et fournisseurs, et même les salariés ciblés par l'hameçonnage. Chaque nouvel outil, compte ou service ajoute des points d'entrée.
Réduire la surface d'attaque est l'une des mesures les plus efficaces : l'ANSSI recommande par exemple de supprimer les comptes inutiles (anciens salariés, anciens prestataires) pour limiter la surface d'exposition. Un service qui n'existe pas ne peut pas être attaqué.
Sources : NIST, glossaire CSRC : Attack Surface ; ANSSI, La cybersécurité pour les TPE/PME en treize questions
Exemple concret
Une PME de 60 salariés fait réaliser un état des lieux de son exposition sur Internet. Résultat : un ancien site de test oublié, un accès bureau à distance ouvert pour un prestataire parti depuis deux ans, et 14 comptes de messagerie d'anciens salariés toujours actifs. En une semaine, ces points d'entrée sont supprimés, sans aucun impact sur l'activité.
Comment se protéger
- Recenser tout ce qui est accessible depuis Internet, y compris les services oubliés
- Fermer les accès bureau à distance directs et passer par un VPN avec authentification multifacteur
- Désactiver les comptes des personnes et prestataires qui ont quitté l'entreprise
- Désinstaller les logiciels et services inutilisés
- Évaluer l'exposition de chaque nouvel outil avant sa mise en service
- Faire vérifier régulièrement son exposition par un scan externe ou un test d'intrusion
Questions fréquentes
En croisant l'inventaire interne (comptes, logiciels, accès) avec un scan de ce qui est visible depuis Internet. Un audit ou un test d'intrusion externe en donne une vue fiable.
Pas automatiquement. Il déplace une partie de la sécurité chez le fournisseur, mais ajoute des comptes, des interfaces d'administration et des partages qui doivent être correctement configurés.
Termes liés
Durcissement (hardening)
Configuration d'un système pour supprimer tout ce qui est inutile et activer les protections, afin de réduire les possibilités d'attaque.
Principe du moindre privilège
Règle qui consiste à n'accorder à chaque utilisateur, programme ou service que les droits strictement nécessaires à sa tâche.
Test d'intrusion (pentest)
Attaque simulée et autorisée, menée par des auditeurs, pour trouver les failles exploitables d'un site, d'un réseau ou d'une application.
Vulnérabilité
Faiblesse d'un logiciel, d'un équipement, d'une configuration ou d'une procédure qu'un attaquant peut exploiter.
Vous avez besoin d'un expert en Surface d'attaque ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.