Avant la prochaine vulnérabilité : réduire votre surface d'attaque et prendre le contrôle de la visibilité de votre réseau

Vous ne pouvez pas prédire quand la prochaine vulnérabilité critique apparaîtra, mais vous pouvez décider combien de votre infrastructure sera exposée quand cela se produira. Beaucoup d'organisations découvrent trop tard qu'elles ont des services inutiles accessibles à Internet, et que la mauvaise visibilité rend chaque nouvelle vulnérabilité une urgence à laquelle nous devons réagir rapidement.

Le temps qui s'écoule entre la divulgation d'une vulnérabilité et son exploitation par des acteurs malveillants tombe de façon alarmante. Il y a des projets qui suivent cette tendance et projet qui, si les choses ne changent pas, dans quelques années cet intervalle sera une question de minutes, pas de jours ( Horloge de jour zéro). Prendre en compte tout ce qui devrait se passer avant d'appliquer un patch : exécuter des analyses, recevoir et analyser les résultats, prioriser les incidents, déployer la correction et la vérifier. Si la nouvelle sort des heures de travail, ce processus est encore plus long. Avec des fenêtres de fonctionnement de plus en plus courtes, tout retard augmente exponentiellement le risque.

Un exemple qui illustre bien le problème est le cas d'une vulnérabilité d'exécution à distance sur des serveurs de collaboration d'entreprise très étendus. Avant qu'un patch n'existe, des groupes dotés de capacités sophistiquées l'exploitaient et, lorsque l'échec a été rendu public, de nombreux attaquants ont commencé à suivre le réseau mondial à la recherche d'instances accessibles par Internet pour les utiliser massivement. La réalité était qu'il y avait des milliers de systèmes inutilement accessibles - des services qui n'ont pas besoin d'être exposés - et chacun d'eux était une porte ouverte pour un attaquant. Pour les informations techniques et les communications officielles sur les vulnérabilités de certains produits, il est recommandé d'examiner les propres publications du fabricant, par exemple le centre de réponse Microsoft ( MSRC) ainsi que les listes des échecs exploités connus de la CISA.

Pourquoi tant d'expositions ? Une raison courante est comment les résultats des analyses externes sont interprétés. Les rapports classiques combinent des constatations critiques et d'autres simplement informatives, et cette étiquette « informative » peut conduire à un manque d'urgence. Un service détecté comme information d'un réseau interne peut toutefois être fatal si le même service est accessible depuis Internet : une instance SharePoint, une base de données MySQL ou Postgres avec ports ouverts, ou des protocoles tels que RDP ou SNMP offerts en dehors du réseau de confiance sont des exemples clairs d'éléments qui, bien qu'ils n'aient pas une vulnérabilité associée à ce moment, représentent un risque réel pour leur simple exposition.

Il influence également le contexte de l'analyse. Une équipe de sécurité qui effectue des tests à partir du réseau peut considérer un service comme légitime et à faible risque, qui, s'il est exposé à l'extérieur, laisse l'organisation dans une situation très différente. Les processus traditionnels de rapport ne font pas toujours la distinction entre ces réalités, et donc les écarts de visibilité dont les attaquants profitent.

Pour réduire délibérément l'attaque extérieure, il faut changer la mentalité : de la réaction à chaque alerte à la conception d'une stratégie qui minimise la surface vulnérable en premier lieu. La première étape essentielle est d'avoir un véritable inventaire de ce qui existe et de ce qui est accessible depuis Internet. Il s'agit de rechercher et d'éliminer l'informatique parallèle, d'identifier les ressources créées en dehors des canaux officiels et de veiller à ce que toute nouvelle infrastructure soit automatiquement enregistrée dans les processus de sécurité, par exemple en intégrant la visibilité avec les fournisseurs de cloud et les enregistrements DNS. Des techniques telles que le dénombrement des sous-domaines aident à découvrir les hôtes exposés qui ne sont pas dans l'inventaire, et il est approprié de prêter attention aux services hébergés dans les petits fournisseurs qui sont parfois en dehors des politiques d'entreprise; afin d'approfondir le dénombrement des sous-domaines, le guide de l'industrie ( Trains de sécurité) et pour une approche générale de la gestion de surface d'attaque, il est utile d'examiner Gestion de surface d'attaque OWASP.

Le traitement de l'exposition doit être une catégorie de risque en soi, et non une note de bas de page dans un rapport. Il est nécessaire d'identifier les résultats d'informations qui représentent une exposition réelle et de leur attribuer une gravité correspondante: une instance accessible d'un service sensible devrait être étendue et gérée en priorité, même s'il n'y a pas encore d'AQE associé. Cela nécessite une capacité de détection sensible au réseau et un processus de gouvernance qui réserve du temps et de la propriété pour réduire l'exposition de façon continue, pas seulement en cas de crise. Si les tâches urgentes sont toujours prioritaires par rapport aux tâches stratégiques, l'équilibre sera insoutenable et les expositions continueront à s'accumuler.

La réduction de la surface d'attaque n'est pas faite une fois et est oubliée. Les changements d'infrastructure sont constants : un nouveau service est déployé, une règle de pare-feu est modifiée, une acquisition apporte des domaines et des systèmes hérités. Il est donc essentiel de surveiller en permanence et à la légère. Il est souvent irréaliste d'effectuer des analyses de vulnérabilité complètes au quotidien pour le coût et le temps, mais les analyses de port fréquentes et d'autres vérifications rapides permettent la détection dans les heures où un service exposé semble ne pas être. Outils de numérisation comme Nmap montrer comment ces sondes fonctionnent au niveau des ports, et pour une orientation officielle sur la surveillance continue, il convient d'examiner les recommandations du NIST ( NIST SP 800-137).

L'avantage pratique d'avoir des services moins exposés est que, lorsque la vulnérabilité critique apparaît, il y aura moins d'objectifs à assurer et moins de pression pour se garer rapidement. Réduire l'exposition à l'avance transforme une urgence en un emploi gérable : moins de dépassements, moins de jours de travail forcés et plus de capacité à réagir de manière ordonnée et efficace.

Il ne s'agit pas d'éliminer tout sur Internet, mais de contrôler délibérément ce qui devrait être là et pourquoi. Automatiser la détection de Shadow IT, l'énumération des hôtes externes et les alertes aux changements d'exposition accélère la visibilité et permet aux équipements de sécurité d'agir avant le bruit de l'exploitation de masse. Si vous voulez voir comment ces procédures fonctionnent dans la pratique, en plus des sources techniques mentionnées ci-dessus, de nombreuses plateformes de gestion et de numérisation de surface offrent des démos et des matériaux qui montrent comment connecter l'inventaire, la détection et la réponse automatisée.

La bonne nouvelle est que l'avantage des défenseurs reste dans un aspect clé: vous pouvez vous intégrer à vos propres systèmes cloud et DNS pour détecter automatiquement ce que vous croyez. Les agresseurs n'ont pas ce privilège. En tirant parti de cette situation, la priorité accordée à la réduction de l'exposition et au maintien d'une surveillance continue sont des étapes qui réduisent considérablement la probabilité d'être une victime lorsque la prochaine vulnérabilité critique survient.