Qu’en voit Internet de votre entreprise : la surface d’attaque expliquée

7 min de lecture · DataRoad

La surface d'attaque extérieure Votre entreprise est la somme de tout ce que toute personne peut voir et essayer d’ouvrir à partir d’Internet, sans jamais avoir à entrer dans votre bureau. La réponse courte à la question “ que voit Internet de nous ? ” est presque toujours : plus que ce que l’administration juge. Un panneau de gestion ouvert, une VPN qui a été mise à jour il y a un an, un sous-domaine ancien que personne n’a désactivé. Chacun est une porte.

Qu'est-ce que, exactement, la surface d'attaque ?

Pensez à l’immeuble de l’entreprise. La porte d’entrée a une serrure et un système d’alarme. Mais il y a aussi la porte arrière et le garage que l’un des fournisseurs a utilisé il y a trois ans. La surface d’attaque est l’ensemble de toutes les entrées, y compris celles qui sont oubliées.

Dans le monde numérique, ces entrées sont des services liés à Internet. Certains sont nécessaires — l'email, le site web, l'accès à distance. D'autres sont devenus disponibles par inadvertance ou par oubli.

Les cinq entrées que nous rencontrons le plus souvent

1. Panneaux de gestion exposés

Les routeurs d'opérateur, les pare-feu, les NAS (les disques réseau où de nombreuses entreprises stockent des fichiers), les caméras de vidéosurveillance et les imprimantes disposent de pages d'administration. Lorsqu'ils sont accessibles sur Internet, toute personne peut tenter de trouver des mots de passe à partir de mots de passe, ou exploiter une faille connue de ce modèle.

2. VPN et pare-feu obsolètes

La VPN est le tunnel qui permet aux collaborateurs de travailler à domicile. Elle est, par définition, orientée vers Internet. C’est pourquoi, lorsque un fabricant de pare-feux publie une correction de sécurité, les pirates l’étudient et commencent à chercher des équipements qui n’ont pas encore installé cette correction. La CISA, l’agence américaine de cybersécurité, tient un catalogue public des vulnérabilités qui sont déjà exploitées en pratique — le catalogue KEV — et des équipements de connexion à distance apparaissent régulièrement là-dedans. Pour les agences fédérales, la règle est de corriger chaque nouvelle vulnérabilité du catalogue dans les deux semaines. C’est une bonne échéance pour toute entreprise. Nous expliquons le coût de l’attente dans l’article Mise à jour informatique : “ Je ferai ça plus tard ” coûte cher.

3. Accès distant direct à l'environnement de travail

Ouvrir directement l’environnement de travail à distance (RDP) à Internet, “ juste pour que le comptable puisse y accéder le week-end ”, est l’une des demandes les plus fréquentes. Il faut toujours passer par une VPN ou une solution d’accès avec vérification d’identité — voir car une VPN seule ne suffit pas.

4. Domaines et sous-domaines oubliés

loja.empresa.pt, teste.empresa.pt, la campagne de 2019. Chaque sous-domaine pointe vers un site différent. Si ce site a été désactivé mais le registre a été conservé, un tiers peut, dans certains cas, occuper l’adresse et diffuser du contenu sous le nom de votre entreprise. Et un domaine expirant par oubli entraîne avec lui le site web et l’adresse e-mail — nous avons pris en compte ce risque dans domaines et certificats expirant.

5. Adresses e-mail exposées

Les courriels de l'équipe apparaissent sur le site, sur LinkedIn et dans des fuites de données provenant d'autres services. Il n'est pas possible de les cacher, mais il est possible de savoir lesquels sont les plus exposés et de s'assurer que aucune compte ne dépend uniquement de mots de passe. Le facteur humain joue un rôle important : selon le CNCS, environ la moitié des incidents enregistrés en 2025 ont exploité des vulnérabilités liées aux personnes, le phishing étant le principal moyen utilisé.

Comment mesurer : ce que un diagnostic externe vérifie

Il est mesuré de l'extérieur, comme le ferait un attaquant — mais avec autorisation et un rapport à la fin.

Comment fermer : le plan en quatre étapes

1. Inventaire. Liste des IP publics, des domaines, des sous-domaines et des équipements orientés vers Internet, avec un responsable pour chaque ligne. Ce qui n'a pas de propriétaire est celui qui est oublié.
2. Clôture par omission. Tout ce qui n’a pas besoin d’être ouvert se ferme. Les panneaux de gestion ne sont accessibles que via le réseau interne ou une VPN. L’accès à distance passe toujours par un canal avec MFA (la confirmation sur le téléphone, en plus du mot de passe).
3. Mettre à jour ce qui reste. Firewall, VPN et routeurs avec le logiciel du fabricant à jour, et un délai défini pour les corrections critiques. Les appareils que le fabricant a abandonnés le support sont remplacés — il n’y a pas de correctif disponible.
4. Veiller toujours. La surface change toujours lorsque quelqu'un installe un équipement ou contracte un service. La vérification externe doit se répéter au moins tous les mois, avec des alertes lorsqu'une nouvelle porte apparaît.

Chez DataRoad, pare-feu géré, Les mises à jour et la surveillance alarmiste font partie des plans. IT Unlimited. Non Plan Premium, L’assistance sur place est également incluse, ce qui compte lorsque vous devez remplacer un équipement ancien.

Un cas réel : le pare-feu et le VPN chez FreshDesign

FreshDesign avait besoin de protéger le réseau du bureau, de fournir un accès à distance sécurisé à l’équipe et de ne pas s’arrêter si l’Internet était interrompu. DataRoad a installé un pare-feu de nouvelle génération, avec une protection contre les intrusions et des rapports avec alertes, a créé une VPN SSL pour un accès chiffré aux serveurs internes et a configuré deux connexions à Internet avec un passage automatique vers la deuxième si la première tombe. La maintenance était incluse dans le contrat IT Unlimited : mises à jour de firmware, ajustement des politiques et stabilité de la VPN. Lisez l’intégralité de l’affaire FreshDesign : pare-feu et accès VPN.

Leçon à retenir : accès à distance via un seul canal contrôlé, sur un équipement que quelqu’un met à jour en vertu d’un contrat — pas “ quand il y aura du temps ”.

Foire aux questions

Une petite entreprise est-elle vraiment une cible ?

Oui. La plupart des attaques à la surface extérieure sont automatiques : des programmes qui parcourront Internet à la recherche d'un modèle d'appareil présentant une faille connue. La taille de l'entreprise n'est pas prise en compte ; la version du logiciel l'est.

Tester notre surface d’attaque pourrait-il gâcher quelque chose ?

Une vérification externe bien faite est discrète et combinée à l'avance. Elle ne tente pas d'entrer dans les systèmes ; elle identifie ce qui est visible et dans quelle version. Les tests les plus intrusifs, lorsqu'ils sont utiles, sont planifiés avec l'entreprise.

Combien de fois devons-nous vérifier ?

Au moins une fois par mois et chaque fois qu'il y a un changement : nouveau bureau, nouvelle connexion Internet, nouveau service cloud ou changement de pare-feu. L'idéal est une surveillance continue avec des alertes.

Le fournisseur d'accès à Internet n'y prend-il pas garde ?

Normalement, non. L'opérateur fournit la connexion et parfois le routeur. Ce qui reste ouvert, quels appareils sont connectés et si ceux-ci sont mis à jour est la responsabilité de l'entreprise ou de celui qui gère son informatique.

Carte de la surface d'attaque extérieure en 5 jours ouvrables

Nous collectons les informations que l’Internet enregistre sur votre entreprise — IP, ports, pare-feu, VPN, domaines, sous-domaines et e-mail — et vous fournissons un rapport classé par risque. Pour les entreprises possédant plus de 10 postes · contrat d’assistance · support distant, local et téléphonique.

Sources

• CISA — Catalogue des vulnérabilités exploitées connues (KEV)
• CISA — Directive opérationnelle d’application 22-01 (délai de correction)
• Lusa / DNoticias — Données du CNCS : 3 864 incidents en 2025, plus 40%