Définition · Exposition aux menaces
Qu’est-ce que la gestion de l’exposition aux menaces ?
Le terme est récent, la pratique ne l’est pas : fuites, domaines sosies et postes infectés ouvrent des accès, quelqu’un doit regarder l’extérieur. Ce que recouvre l’expression, et par quoi commencer. Le terme est récent, la pratique ne l’est pas : depuis que des fuites, des domaines déposés par d’autres et des postes personnels infectés ouvrent des accès, quelqu’un doit regarder l’extérieur. Voici ce que recouvre l’expression, ce qu’elle n’est pas, et par quoi commencer.
- Guide
- Définition
- Lecture
- 7 min de lecture
- Publié le
- Dernière mise à jour
En une phrase
La gestion de l’exposition aux menaces (threat exposure management, TEM, ou CTEM pour sa forme continue) consiste à identifier en permanence ce qu’une organisation expose au dehors, à qualifier ce qui est réellement exploitable et à traiter en priorité ce qui l’est, en complément de la protection interne, jamais à sa place.
Une organisation se protège de l’intérieur : pare-feu, détection sur les postes, gestion des identités, sauvegardes. Mais une part croissante du risque se joue là où ces outils ne voient rien : chez un salarié dont l’ordinateur personnel est infecté, chez un prestataire qui a laissé une base sur un port public, chez un registrar où quelqu’un vient de déposer un domaine qui imite le vôtre.
La gestion de l’exposition aux menaces nomme le travail qui consiste à regarder ce dehors en continu, à ne retenir que ce qui est exploitable contre vous et à le remettre sous une forme qui permet d’agir. Gartner a décrit en 2022 sa forme continue, le CTEM (Continuous Threat Exposure Management), en cinq étapes : cadrer, découvrir, prioriser, valider, mobiliser.
Ce que l’expression recouvre
Trois familles de choses fuient hors du périmètre : des accès (identifiants, sessions, appareils infectés), une marque (domaines sosies, faux profils, mentions sur les forums) et des personnes (dirigeants, familles, fournisseurs). La gestion de l’exposition les surveille toutes, parce qu’un attaquant les combine : un mot de passe fuité sert d’autant mieux qu’un domaine sosie vient de copier votre page de connexion.
Le mot important est « exposition » : il ne s’agit pas de détecter une attaque en cours, mais ce qui la rend possible avant qu’elle ne commence. Le délai entre le moment où une information devient exploitable et le moment où vous la traitez est la seule grandeur sur laquelle cette discipline agit réellement.
Ce qu’elle n’est pas
Ce n’est pas un SOC ni un EDR : ceux-ci surveillent l’intérieur de vos systèmes et réagissent à ce qui s’y passe. Ce n’est pas un test d’intrusion : personne n’exploite rien, on observe ce qui répond depuis Internet et ce qui circule. Ce n’est pas non plus un scanner de vulnérabilités, qui liste des versions sans dire si quelqu’un s’y intéresse.
Les trois se complètent. La surveillance externe apporte au SOC ce qu’il ne peut pas voir, et le SOC transforme l’alerte en action dans les systèmes. Une organisation sans SOC en tire aussi profit, à condition que quelqu’un puisse réinitialiser un mot de passe ou fermer un port quand l’alerte arrive.
Cadrer, découvrir, prioriser, valider, mobiliser
Cadrer, c’est déclarer un périmètre et en prouver la propriété : domaines, adresses, marques, fournisseurs, dirigeants consentants. Découvrir, c’est rapprocher ce périmètre de tout ce qui circule : fuites, journaux de voleurs, registres de domaines, forums, surface exposée.
Prioriser, c’est classer par ce qui est exploitable maintenant : un mot de passe utilisable sur un SSO passe avant une adresse dans une vieille compilation. Valider, c’est qu’un analyste confirme le cas et écrit l’action attendue. Mobiliser, c’est que l’action arrive à la personne qui peut la faire, dans l’outil où elle travaille déjà, avec la preuve pour l’auditeur.
Par quoi commencer
Par les identifiants de vos domaines : c’est le vecteur d’accès initial le plus fréquent et le plus simple à traiter, puisque la réponse est une réinitialisation. Ensuite les domaines qui imitent les vôtres, parce qu’ils se préparent des jours avant de servir. Puis la surface exposée et les fournisseurs, dont la fuite vous touche sans que vous ayez été attaqué.
Fixez dès le départ qui reçoit quoi, à quel seuil, et comment vous mesurerez le résultat : le nombre d’expositions traitées et le délai médian entre leur apparition et leur traitement. Une semaine sans alerte est une information, pas une panne.
Comment la mesurer
Un score d’exposition, de 0 à 100, résume les expositions ouvertes pondérées par leur gravité, leur fraîcheur et la criticité de l’actif touché ; sa courbe sur quatre-vingt-dix jours dit si l’organisation progresse. Il sert à suivre une même organisation dans le temps, jamais à en comparer deux.
Les autres mesures sont des délais : entre la mise en circulation d’un identifiant et sa révocation, entre le dépôt d’un domaine sosie et la demande de retrait, entre la publication d’un fournisseur sur un site de fuite et la notification à vos équipes. Ce sont ces délais qu’un rapport de posture doit montrer à une direction.
Questions fréquentes
TEM, CTEM, DRP, EASM : quelle différence ?
La gestion de l’exposition aux menaces (TEM) est la discipline ; CTEM insiste sur sa forme continue, en cinq étapes. La protection contre les risques numériques (DRP) en est la partie tournée vers la marque et les personnes ; la gestion de la surface d’attaque externe (EASM) la partie tournée vers l’infrastructure joignable depuis Internet. VesperID couvre les deux dans une même plateforme.
Faut-il un SOC pour en faire ?
Non. Il faut quelqu’un qui puisse agir sur l’alerte : réinitialiser un accès, révoquer une session, demander un retrait, fermer un port. Une équipe de trois personnes en tire autant qu’un centre opérationnel de trente, parce que le travail livré est déjà qualifié.
Quand voit-on les premiers résultats ?
Dès qu’un actif est vérifié : l’historique disponible remonte immédiatement, et c’est souvent là que se trouvent les premières découvertes, par exemple un mot de passe exposé il y a deux ans et jamais changé. Ensuite, le rythme dépend de votre exposition réelle.
Voyez votre exposition, pas une définition
Un cadrage d’une heure avec un analyste dit ce que votre périmètre laisse déjà voir de l’extérieur, et si une surveillance se justifie.
Offre sur mesure : aucun prix public, aucun pack.