La gestion de la surface d'attaque, ou ASM, est une priorité émergente pour les entreprises pilotées par l'IT qui souhaitent compléter leurs tests et surveillances de sécurité existants. Il s'agit du processus de découverte, d'inventaire, de classification et de surveillance continus des actifs de l'architecture technique d'une entreprise.
La signification de l'ASM est similaire à celle de la découverte et de la gestion des actifs, mais elle implique de considérer la vulnérabilité du point de vue des cybercriminels. Dans cet article, nous explorons comment une gestion efficace de la surface d'attaque peut prévenir les cyberattaques en sécurisant des actifs et des ressources en expansion constante.
Qu'est-ce qu'une surface d'attaque ?
Une surface d'attaque est un ensemble de points situés à la frontière d'une infrastructure IT qui aide une entreprise à découvrir, hiérarchiser et corriger les vulnérabilités avant que les cybercriminels ne les exploitent. Elle se catégorise comme suit :
Surface d'attaque numérique
Elle couvre l'ensemble du réseau IT et de l'environnement logiciel, y compris les applications, les codes, les ports et autres points d'entrée et de sortie.
Surface d'attaque physique
Elle englobe les appareils terminaux de l'entreprise tels que les ordinateurs de bureau, les ordinateurs portables, les appareils mobiles et les clés USB.
Surface d'attaque liée à l'ingénierie sociale
Les tactiques d'ingénierie sociale exploitent les comportements négligents et vulnérables des utilisateurs. Les attaques courantes menées avec cette technique sont le phishing, l'injection de logiciels malveillants et le typosquatting.
Qu'est-ce que la gestion de la surface d'attaque ?
La gestion de la surface d'attaque est la surveillance continue et la vigilance nécessaires pour atténuer les cybermenaces présentes et futures. Elle couvre toutes les évaluations des risques, les contrôles de sécurité et les mesures de sécurité qui, ensemble, surveillent et protègent la surface d'attaque afin de minimiser les chances que les cybercriminels exploitent les failles du système.
Les outils de gestion de la surface d'attaque détectent les ensembles de vulnérabilités afin que les développeurs et les experts en cybersécurité soient informés des risques potentiels. Les membres de l'équipe prennent alors les mesures nécessaires pour atténuer les cyberattaques.
La gestion de la surface d'attaque externe, ou EASM, est un nouveau terme utilisé de manière interchangeable avec l'ASM, mais les deux ne sont pas identiques. L'EASM concerne spécifiquement les vulnérabilités et les risques associés aux actifs IT externes ou exposés à internet d'une entreprise. Comme indiqué ci-dessus, ceux-ci relèvent de la catégorie de la surface d'attaque numérique. L'EASM n'inclut pas la surface d'attaque physique ni la surface d'attaque liée à l'ingénierie sociale.
La gestion de la surface d'attaque réduit les cybermenaces provenant de :
- Actifs hérités, IoT et IT fantôme
- Comportement négligent des utilisateurs
- Logiciels et applications obsolètes et non corrigés
- Logiciels open-source inconnus
- Attaques à grande échelle sur votre domaine
- Atteinte à la propriété intellectuelle
- Actifs gérés par des fournisseurs
Comment fonctionne la gestion de la surface d'attaque ?
Le processus ASM se divise en quatre étapes principales :
- Découverte des actifs
- Classification, analyse et hiérarchisation
- Remédiation
- Surveillance
Ces étapes sont automatisées grâce aux outils de gestion de la surface d'attaque, car l'équipe de cybersécurité doit disposer d'une mise à jour en temps réel des actifs exposés.
Découverte des actifs
La découverte des actifs se fait à l'aide d'outils automatisés qui recherchent en permanence les vulnérabilités de sécurité dans le matériel, les logiciels et les actifs cloud exposés à internet. Ces actifs comprennent :
- Actifs connus : l'ensemble de l'infrastructure IT sous l'accès et le contrôle direct de l'organisation, y compris les routeurs, les appareils, les appareils IoT, les sites web et les données propriétaires.
- Actifs inconnus : cela inclut tous les actifs inventoriés utilisant des ressources réseau sans la connaissance ni le consentement de l'équipe IT.
- Actifs tiers ou fournisseurs : ce sont les actifs que l'organisation utilise dans le cadre de son infrastructure IT ou de sa chaîne d'approvisionnement numérique, mais qu'elle ne possède pas. Il s'agit notamment des applications SaaS, des API et des actifs cloud publics.
- Actifs de filiales : cela fait référence à une liste d'actifs connus, inconnus ou tiers appartenant aux réseaux des filiales d'une organisation.
- Actifs malveillants ou non autorisés : ce sont des actifs développés ou volés par des cybercriminels pour attaquer une entreprise par le biais de violations de données ou d'attaques par usurpation d'identité.
Classification, analyse et hiérarchisation
Après la découverte des actifs, ceux-ci sont répertoriés par identité, adresse IP, propriété et liens avec d'autres actifs. Ils sont évalués en fonction de leur exposition et des menaces qu'ils peuvent représenter.
Ensuite, les failles du système sont hiérarchisées pour remédiation sur la base des données accumulées à partir des flux de renseignement sur les menaces, des informations collectées lors de la classification et des résultats des activités de gestion des risques de sécurité.
Remédiation
La remédiation est effectuée par ordre de priorité et implique :
- La mise en œuvre de protocoles de contrôle de sécurité adéquats pour l'actif en question. Cela peut consister à déboguer le code de l'application, à mettre à jour le système et à utiliser un chiffrement des données plus robuste.
- L'intégration sous supervision des actifs auparavant inconnus.
Le processus de remédiation peut également inclure des tactiques plus larges et transversales telles que l'application du principe du moindre privilège, l'allowlisting, le blocklisting ou l'authentification multifacteur.
Surveillance
Chaque système IT est susceptible de comporter des vulnérabilités que les pirates peuvent exploiter, c'est pourquoi les actifs inventoriés et existants sont surveillés en permanence. Cela alerte les équipes de sécurité, qui peuvent alors les corriger avant que les cybercriminels ne puissent tirer parti de ces failles.
Gestion de la surface d'attaque vs gestion des vulnérabilités
La principale différence entre la gestion de la surface d'attaque et la gestion des vulnérabilités réside dans la portée globale de la sécurité englobée au sein d'une structure IT. L'ASM couvre un environnement plus large que la gestion des vulnérabilités, qui ne se préoccupe que de l'impact immédiat d'un actif vulnérable.
La gestion des vulnérabilités est un sous-ensemble de la gestion de la surface d'attaque et se limite à des actifs faibles particuliers au sein d'un réseau, en traitant des analyses basées sur le code.
Gestion de la surface d'attaque vs vecteur d'attaque
Pour lutter contre les cybermenaces et atteindre le renseignement sur les menaces, il est important de connaître la différence entre la gestion de la surface d'attaque et les vecteurs d'attaque.
Qu'est-ce qu'un vecteur d'attaque ?
Les vecteurs d'attaque sont des techniques adoptées par les cybercriminels pour obtenir un accès non autorisé à des systèmes ou des comptes afin de voler ou d'intercepter des données. Ils se classent en deux catégories : les vecteurs d'attaque passifs et les vecteurs d'attaque actifs.
Les vecteurs d'attaque passifs impliquent l'exploitation de vulnérabilités sans altérer les ressources et les performances des systèmes. Il s'agit de tactiques d'écoute clandestine telles que le détournement de session, le scan de ports et l'analyse du trafic.
Les vecteurs d'attaque actifs impliquent l'exploitation de vulnérabilités de manière à affecter la capacité opérationnelle des systèmes. Il s'agit notamment des attaques par rançongiciel, des attaques par injection SQL et des attaques DDoS.
Différence entre surface d'attaque et vecteurs d'attaque
En termes plus simples, la surface d'attaque est l'accumulation de toutes les vulnérabilités qu'un cybercriminel peut exploiter avec une intention malveillante. Un vecteur d'attaque est une technique qu'il utilise pour exploiter les vulnérabilités d'une infrastructure IT.
Les testeurs de vulnérabilités cartographient la surface d'attaque pour obtenir une vue plus large de tous les risques potentiels associés à l'architecture IT. L'évaluation des vecteurs d'attaque individuels donne une idée de ce qui doit être corrigé ou renforcé.
Comment Red Sift peut-il aider les entreprises en matière de gestion et de surveillance de la surface d'attaque ?
Partageant des similitudes avec la gestion de la surface d'attaque, Hardenize par Red Sift propose une méthodologie de gestion continue de l'exposition aux menaces (CTEM) pour offrir aux entreprises une découverte automatisée des actifs et une surveillance continue de leur réseau à la recherche de vulnérabilités. Nous vous informons des certificats qui arrivent à expiration afin d'éviter les interruptions de service, tout en surveillant également les certificats des fournisseurs tiers associés à votre organisation.
Hardenize permet aux dirigeants d'entreprise d'obtenir un contrôle direct et complet sur les vulnérabilités connues et inconnues affectant leurs actifs exposés à internet à travers les e-mails, les noms de domaine et les sites web. Obtenez dès aujourd'hui une analyse gratuite de votre surface d'attaque en discutant avec nos experts.
