Votre surface d'attaque externe, c'est tout ce qu'un attaquant peut voir et potentiellement exploiter depuis Internet, sans avoir besoin d'un accès interne. Noms de domaine, sous-domaines, adresses IP, services exposés, certificats, e-mails compromis : chaque élément est un point d'entrée potentiel. Un audit de surface d'attaque cartographie cette exposition pour la réduire avant qu'un attaquant ne l'exploite.
Le paradoxe PME :les PME pensent souvent être « trop petites pour être ciblées ». En réalité, leur surface d'attaque est souvent disproportionnée par rapport à leur capacité de défense. Un sous-domaine oublié ou un service exposé suffit pour compromettre toute l'infrastructure.
Qu'est-ce qu'une surface d'attaque externe ?
La surface d'attaque externe comprend tous les actifs numériques de votre entreprise accessibles depuis Internet. Voici ce qu'un scan externe analyse :
Infrastructure
- • Adresses IP publiques
- • Ports et services ouverts
- • Versions des logiciels serveur
- • Certificats SSL/TLS
- • Configuration DNS
Web et applicatif
- • Sous-domaines (y compris oubliés)
- • Panneaux d'administration exposés
- • Technologies détectées (CMS, frameworks)
- • En-têtes de sécurité HTTP
- • Fichiers sensibles indexés
Données exposées
- • Identifiants compromis (dark web)
- • Adresses e-mail exposées
- • Documents indexés par erreur
- • Métadonnées de fichiers publics
- • Code source exposé (repos Git)
Réputation et e-mail
- • Configuration SPF, DKIM, DMARC
- • Présence sur des listes noires
- • Usurpation de domaine possible
- • Domaines typosquattés
- • Mentions sur des forums underground
Les découvertes les plus fréquentes
Après des centaines d'audits de surface réalisés, voici les problèmes que nous trouvons le plus souvent chez les PME :
Sous-domaines oubliés avec des applications vulnérables
Un ancien site de test, une démo client, un outil interne laissé en ligne. Ces sous-domaines tournent souvent sur des versions obsolètes avec des CVE connues et exploitables.
Panneaux d'administration accessibles sans restriction
phpMyAdmin, cPanel, Webmin, interfaces de routeurs : des panneaux d'administration ouverts sur Internet sans restriction IP ni MFA. Un attaquant n'a plus qu'à brute-forcer le mot de passe.
Identifiants de collaborateurs dans des fuites de données
Des mots de passe d'entreprise retrouvés dans des bases de données compromises (LinkedIn, Adobe, etc.). Si ces mots de passe sont réutilisés, un attaquant a un accès direct au SI.
Configuration e-mail sans DMARC
Sans politique DMARC stricte, n'importe qui peut envoyer des e-mails en se faisant passer pour votre domaine. C'est la porte ouverte au phishing ciblé contre vos clients et partenaires.
Déroulement d'un audit de surface d'attaque
Reconnaissance passive (OSINT)
Collecte d'informations sans interaction directe avec vos systèmes : DNS, WHOIS, certificats, moteurs de recherche, bases de données de fuites, réseaux sociaux.
Scan actif des actifs découverts
Scan de ports, identification des services et versions, détection de vulnérabilités connues (CVE), vérification des configurations SSL/TLS et des en-têtes HTTP.
Analyse des résultats et scoring
Corrélation des découvertes, évaluation de la criticité de chaque vulnérabilité, calcul d'un score de risque global et par catégorie.
Rapport et plan de remédiation
Livrable actionnable avec cartographie visuelle de la surface d'attaque, vulnérabilités priorisées (CVSS), et recommandations de correction classées par urgence et effort.
Audit de surface vs pentest : quelle différence ?
| Critère | Audit de surface | Pentest |
|---|---|---|
| Objectif | Cartographier l'exposition | Exploiter les vulnérabilités |
| Intrusivité | Faible (non destructif) | Moyenne à élevée |
| Durée | 1-2 jours | 3-10 jours |
| Budget PME | 1 500 – 3 000 € | 3 000 – 15 000 € |
| Quand | En premier, régulièrement | Après le scan de surface |
Notre recommandation :commencez toujours par un audit de surface d'attaque. C'est rapide, non intrusif et il identifie les problèmes évidents à corriger en priorité. Le pentest vient ensuite, une fois les failles évidentes corrigées, pour tester la résistance en profondeur.
À quelle fréquence scanner sa surface d'attaque ?
Votre surface d'attaque évolue en permanence : nouveaux sous-domaines, changements d'infrastructure, nouvelles fuites de données. Un scan ponctuel ne suffit pas.
- ✓Minimum : un audit complet par trimestre
- ✓Recommandé : monitoring continu avec alertes sur les changements (nouveaux services exposés, certificats expirants, nouvelles fuites)
- ✓Après chaque changement majeur : migration cloud, nouveau site, changement d'hébergeur, fusion/acquisition
Découvrez votre surface d'attaque
NetMeSafe réalise des audits de surface d'attaque externe pour les PME et ETI. En 24 à 48h, vous recevez une cartographie complète de votre exposition avec un plan de remédiation priorisé.
Scanner ma surface d'attaque