Surveiller sa surface d’attaque quand on est une petite entreprise

Avant de tenter quoi que ce soit contre une entreprise, un attaquant regarde. Il n’a pas besoin de toucher vos serveurs pour apprendre beaucoup : votre DNS, les journaux de certificats, les index publics des services exposés, les archives du web et les sites d’hébergement de code contiennent l’essentiel de ce qu’il lui faut. La gestion de la surface d’attaque externe, c’est faire cette même reconnaissance sur soi-même, régulièrement, pour la voir en premier.

Les grandes entreprises l’achètent comme un produit avec une équipe derrière. Une petite entreprise peut en tirer l’essentiel en sachant quoi surveiller et à quel rythme.

Les sept domaines à surveiller

1. Domaines et sous-domaines. Chaque nom sous votre domaine est une porte. La liste complète est publique : chaque certificat HTTPS est inscrit dans les journaux Certificate Transparency, si bien que ancien-crm.votredomaine.fr reste trouvable des années après son abandon. Surveillez les nouveaux noms que vous n’avez pas créés et les vieux noms qui pointent encore quelque part. Voir Surveiller Certificate Transparency et Sous-domaine détourné.

2. La messagerie. Quelqu’un peut-il envoyer des e-mails en votre nom ? SPF, DKIM et une politique DMARC appliquée y répondent. Les e-mails qui vous sont envoyés sont-ils chiffrés ? MTA-STS. Ce sont les contrôles qui arrêtent la fraude aux factures. Voir SPF, DKIM et DMARC.

3. Certificats et enregistrement du domaine. Un certificat expiré met votre site hors ligne ; un domaine expiré peut être racheté par un autre, avec toute sa messagerie. Ce sont des dates, et des dates se surveillent.

4. La configuration web. HTTPS partout, un TLS récent, les en-têtes de sécurité, pas de pages d’administration oubliées, pas de scripts tiers chargés sans contrôle d’intégrité, pas de traceurs déposés avant le consentement.

5. Les services exposés. D’autres ports que le web qui répondent à Internet : bureau à distance, bases de données, pages d’administration, et les vulnérabilités connues pour les versions qui y tournent. Voir Ports ouverts.

6. Les fuites. Anciennes sauvegardes gardées par les archives du web, mots de passe et clés dans du code public qui nomme votre domaine, adresses de votre personnel dans des fuites connues. Voir Clés d’API qui fuient sur GitHub.

7. Sosies et usurpation. Les domaines à une faute de frappe du vôtre, enregistrés avec des serveurs de messagerie ou une page de connexion, et les copies de votre site. Voir Domaines sosies.

À quel rythme

Les attaquants regardent en continu, mais une petite entreprise n’en a pas besoin. Un rythme raisonnable :

chaque semaine pour l’ensemble, comparé à la semaine précédente : ce qui est nouveau, ce qui a été corrigé, ce qui s’est dégradé ;
chaque jour ou chaque heure pour ce qui change vite et fait mal vite : nouveaux certificats pour votre domaine, site hors ligne, nouveau sosie avec une page de connexion ;
tout de suite après un changement de votre part : nouvelle messagerie, nouveau site, serveur déplacé.

La comparaison est l’essentiel. Une liste de 40 constats décourage une fois ; une note hebdomadaire qui dit « un nouveau sous-domaine, deux constats corrigés », une personne occupée la lit.

D’abord passif

Tout ce qui précède s’apprend sans envoyer un seul paquet qu’un pare-feu qualifierait d’attaque : en lisant le DNS, des journaux, des index et des archives qui existent déjà. C’est pour cela qu’on peut le faire chaque semaine sans autre permission que la vôtre, et sans risque pour vos systèmes. Les tests actifs (scanner vos ports, sonder vos applications) vont plus loin et demandent un accord écrit et des précautions ; ils complètent, ils ne sont pas un point de départ.

Des constats aux corrections

Un constat n’est utile que si quelqu’un peut agir. Pour chacun, vous voulez savoir sa gravité, ce qu’il faut changer exactement (l’enregistrement DNS, l’en-tête, le réglage), et si la correction a marché. Regroupez les corrections par personne : les réglages de la messagerie, le DNS, l’hébergeur, le développeur. Puis vérifiez de nouveau.

Comment le fait Perimetry

Perimetry Cloud mène tout cet audit externe sur vos domaines chaque semaine (chaque jour avec les offres Agency), de façon passive, depuis l’extérieur. Il compare chaque audit au précédent, explique chaque constat en langage clair avec l’enregistrement ou le réglage exact à changer, vous laisse vérifier une correction en un clic, et rattache les constats à NIS2, ISO 27001 et Cyber Essentials. Certificats, disponibilité, rapports DMARC et sosies sont surveillés entre deux audits. Un domaine est gratuit.