ASM : cartographier votre surface d\u2019attaque avant les attaquants

Votre surface d'attaque est plus grande que ce que vous pensez. Selon une étude de Mandiant, 67% des organisations découvrent des assets inconnus lors de leur premier exercice d'Attack Surface Management (ASM). Sous-domaines oubliés, serveurs de staging exposés, APIs non documentées, buckets S3 publics : les attaquants les trouvent avant vous.

Qu'est-ce que l'Attack Surface Management ?

L'ASM est le processus continu de découverte, d'inventaire et de surveillance de tous les actifs d'une organisation exposés sur Internet. Contrairement à un scan de vulnérabilité ponctuel, l'ASM fonctionne en permanence et détecte les changements en temps réel : nouveau sous-domaine, port ouvert, certificat expiré, service exposé par erreur.

Shadow IT : l'ennemi de l'intérieur

Le shadow IT est la première source d'assets non inventoriés. Chaque équipe qui déploie un serveur de test, chaque développeur qui crée un sous-domaine pour une démo, chaque service marketing qui configure un formulaire sur un domaine tiers crée un point d'entrée potentiel. Les études montrent que les grandes entreprises ont en moyenne 30% d'assets exposés non connus de leur équipe sécurité.

Les outils de découverte

Shodan et Censys

Shodan et Censys scannent l'intégralité d'Internet et indexent les services exposés. En interrogeant ces moteurs avec votre plage d'IP ou votre nom de domaine, vous obtenez une vue externe de ce que voit un attaquant : ports ouverts, bannières de service, versions logicielles, certificats TLS.

Subfinder et énumération de sous-domaines

Subfinder agrège des dizaines de sources (VirusTotal, SecurityTrails, Chaos, web archives) pour découvrir tous les sous-domaines associés à un domaine. Combiné avec httpx pour la validation HTTP, vous obtenez une cartographie complète et vérifiée de vos assets web.

CT Logs (Certificate Transparency)

Les Certificate Transparency logs enregistrent chaque certificat TLS émis publiquement. En surveillant les CT logs via crt.sh, vous détectez immédiatement tout nouveau certificat émis pour vos domaines, y compris les certificats émis par des tiers (phishing, typosquatting) ou par des équipes internes sans votre approbation.

Pourquoi le scan continu bat l'audit ponctuel

Un audit de sécurité classique est une photographie à un instant T. Or la surface d'attaque d'une entreprise évolue en permanence :

• Déploiements quotidiens : chaque push en production peut exposer un nouveau service

• Rotation d'infrastructure : les instances cloud éphémères changent d'IP et de configuration

• Changements DNS : un enregistrement modifié peut rediriger vers un asset non protégé

• Expiration de certificats : un certificat expiré peut forcer un fallback HTTP non chiffré

L'intervalle entre deux audits (généralement 6-12 mois) est une fenêtre d'exposition que les attaquants exploitent. Le scan continu réduit cette fenêtre à quelques heures.

ThreatClaw et l'ASM automatisé

ThreatClaw intègre nativement les outils d'ASM dans ses 57 skills spécialisés :

• Shodan : interrogation automatique de votre périmètre IP, alertes sur nouveaux services exposés

• Subfinder : énumération continue des sous-domaines avec détection des nouveaux ajouts

• httpx : validation HTTP/HTTPS de chaque asset découvert, capture de technologies (Wappalyzer-like)

• crt.sh : surveillance des Certificate Transparency logs pour vos domaines

• Nmap : scan de ports ciblé sur les assets découverts

• Nuclei : détection de vulnérabilités connues sur les services exposés

L'agent orchestre ces outils automatiquement, corrèle les résultats, et déclenche des alertes contextualisées. Pas de configuration manuelle, pas de scripts à maintenir.

Méthodologie ASM en 5 étapes

• 1. Découverte : énumérer tous les domaines, sous-domaines, IPs et services

• 2. Inventaire : associer chaque asset à un propriétaire et un niveau de criticité

• 3. Évaluation : scanner les vulnérabilités et misconfigurations sur chaque asset

• 4. Priorisation : classer par risque réel (CVSS + exposition + criticité business)

• 5. Remédiation : corriger ou décommissionner les assets à risque

FAQ

Quelle est la différence entre ASM et un scan de vulnérabilité ?

Un scan de vulnérabilité analyse des assets connus pour y trouver des failles. L'ASM commence par découvrir les assets inconnus, puis les analyse. C'est la différence entre scanner une maison et d'abord trouver toutes les portes que vous ne saviez pas exister.

L'ASM est-il légal ?

L'ASM de vos propres actifs est parfaitement légal. Vous interrogez des sources publiques (Shodan, CT logs, DNS) et scannez votre propre infrastructure. En revanche, scanner des assets qui ne vous appartiennent pas sans autorisation est illégal (article 323 du Code pénal). ThreatClaw se limite strictement à votre périmètre déclaré.

Combien d'assets inconnus vais-je découvrir ?

En moyenne, les organisations découvrent 20 à 40% d'assets supplémentaires lors de leur premier ASM. Pour les entreprises avec de nombreuses filiales ou un historique de fusions-acquisitions, ce chiffre peut monter à 60%.

ThreatClaw peut-il remplacer un outil ASM dédié ?

Pour la plupart des PME et ETI, oui. Les skills ASM de ThreatClaw couvrent la découverte, l'évaluation et le monitoring continu. Pour les grands comptes avec des dizaines de milliers d'assets, un outil ASM dédié (type Cortex Xpanse ou Censys ASM) peut compléter ThreatClaw sur le volet découverte massive. Consultez nos offres pour évaluer la meilleure approche.