Surface d'attaque externe : ce qu'Internet voit de votre société

Parce que les attaques ne choisissent pas des noms, elles choisissent des versions de logiciels. Des robots parcourent Internet sans relâche à la recherche d'équipements présentant des failles connues.

• Rythme d'exploitation La CISA, l'agence américaine de cybersécurité, publie le catalogue KEV des failles déjà utilisées dans des attaques réelles et impose aux agences fédérales de corriger chaque nouvelle entrée en deux semaines.
• Tendance au Portugal En 2025, le CERT.PT a recensé 3 864 incidents, en hausse de 40 % par rapport à 2024, selon le CNCS.
• Facteur humain Près de la moitié de ces incidents ont exploité des personnes, l'hameçonnage étant la méthode dominante.

C'est un canal numéroté par lequel un équipement accepte des connexions venues de l'extérieur. Le port du site web doit être ouvert. Celui de la console d'administration du pare-feu, non.

Imaginez le bâtiment de l'entreprise : entrée principale verrouillée et sous alarme, mais un garage latéral qu'un fournisseur a laissé ouvert il y a des années. Des moteurs de recherche cataloguent chaque jour tous les ports ouverts du monde. L'attaquant ne vous cherche pas ; il filtre le catalogue et vous trouve.

• Consoles d'équipements Box d'opérateur, pare-feu, NAS, caméras et imprimantes dont la page d'administration est accessible de l'extérieur, à la merci de tentatives de mots de passe en série ou des failles du modèle.
• Accès à distance non mis à jour Le VPN existe pour être tourné vers l'extérieur. Dès qu'un constructeur publie un correctif, les attaquants l'analysent et traquent ceux qui ne l'ont pas appliqué ; les équipements d'accès à distance figurent souvent dans le catalogue KEV. Découvrez pourquoi reporter les mises à jour coûte cher.
• RDP publié Ouvrir le bureau à distance de Windows pour faciliter la vie d'un comptable est l'une des invitations les plus recherchées. Exigez un canal avec vérification d'identité ; nous expliquons pourquoi un VPN seul ne suffit plus.
• Sous-domaines orphelins Des adresses comme test.entreprise.pt ou celle d'une ancienne campagne pointent encore vers des destinations éteintes, qu'un tiers peut parfois réutiliser avec la marque de l'entreprise. Un domaine qui expire emporte site et messagerie ; voyez le risque des domaines et certificats expirés.
• Adresses e-mail publiques Elles figurent sur le site, sur LinkedIn et dans les fuites d'autres services. On ne peut pas les effacer, mais elles peuvent être cartographiées, et aucun compte ne doit dépendre d'un simple mot de passe.

Exactement ce que verrait un attaquant, avec autorisation préalable et rapport écrit.

1. Recenser: chaque IP, domaine et équipement exposé reçoit un responsable. Sans responsable, il tombe dans l'oubli.
2. Fermer: tout ce qui n'a pas de raison d'être ouvert est fermé ; consoles uniquement via le réseau interne ou le VPN ; accès à distance uniquement avec MFA.
3. Corriger: firmware des pare-feu, VPN et routeurs à jour, avec un délai fixe pour les correctifs critiques ; tout équipement sans support du constructeur est remplacé.
4. Surveiller: chaque nouvelle liaison ou nouveau service modifie la carte ; vérification externe au moins mensuelle et alerte automatique pour tout nouveau port.

DataRoad, sous contrat. Le pare-feu géré, les correctifs et la supervision avec alertes font partie des services gérés IT Unlimited. En IT Unlimited Premium, l'assistance sur site est en plus incluse, ce qui est décisif quand un équipement obsolète doit être retiré.

En 11 ans, DataRoad n'a jamais subi d'incident de sécurité.

Avec un seul point d'entrée, mis à jour par contrat. L'objectif : verrouiller le bureau, donner à l'équipe un accès à distance chiffré et maintenir l'activité en cas de coupure Internet.

• Périmètre Pare-feu nouvelle génération avec prévention des intrusions et rapports assortis d'alertes.
• Accès VPN SSL jusqu'aux serveurs internes.
• Continuité Deux liaisons Internet avec bascule automatique.
• Maintenance Firmware, ajustement des règles et stabilité du VPN dans le cadre d'IT Unlimited.

Détails dans l'étude de cas FreshDesign.

En 5 jours ouvrés, nous cartographions IP, services, pare-feu, VPN, domaines, sous-domaines et messagerie, et vous remettons les priorités classées par niveau de risque. Demandez une proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.

• Catalogue KEV de la CISA
• Directive BOD 22-01 de la CISA, délais de correction
• Lusa/DNoticias : chiffres du CNCS pour 2025