Définition · Surface d’attaque externe
Qu’est-ce que la surface d’attaque externe ?
Chaque organisation en a une, plus grande qu’elle ne le pense, et elle bouge sans décision. De quoi elle est faite, pourquoi elle dérive, ce que l’EASM fait et ne fait pas, comment la réduire. Chaque organisation en a une, plus grande qu’elle ne le pense, et elle bouge sans décision explicite. Voici de quoi elle est faite, pourquoi elle dérive, ce que l’EASM fait et ne fait pas, et comment la réduire sans y consacrer une équipe.
- Guide
- Définition
- Lecture
- 6 min de lecture
- Publié le
- Dernière mise à jour
En une phrase
La surface d’attaque externe est l’ensemble de ce qu’une organisation expose sur Internet et qu’un attaquant peut atteindre sans aucun compte : hôtes, ports, services, certificats, applications, sous-domaines et actifs de filiales ou de prestataires, y compris ceux que l’inventaire interne ignore ; sa gestion (EASM) consiste à la découvrir, la surveiller et la réduire en continu.
Un attaquant ne commence pas par votre pare-feu. Il commence par une liste : tout ce qui répond sous vos domaines et vos adresses, avec les versions annoncées, les certificats, les pages de connexion, les environnements de test oubliés. Cette liste est votre surface d’attaque externe, et l’ANSSI relève, dans son Panorama de la cybermenace 2025, que les équipements exposés insuffisamment maintenus sont, avec les accès légitimes, les premières cibles des attaquants.
La gérer ne demande ni agent ni accès à vos systèmes : on observe depuis Internet, comme le ferait n’importe qui, et on compare d’une observation à l’autre.
De quoi elle est faite
Des domaines et sous-domaines, des adresses IP et des plages, des services qui répondent sur des ports (web, messagerie, accès distant, bases de données), des certificats et leurs dates, des applications et leurs versions, des espaces cloud et des dépôts publics. Et ce qui appartient à d’autres mais porte votre nom : filiales, prestataires, agences, hébergeurs d’une campagne passée.
La partie la plus dangereuse est celle que personne ne liste : l’environnement de recette resté ouvert, l’accès de maintenance laissé par un intégrateur, la filiale rachetée dont l’inventaire s’arrête au document de transaction.
Pourquoi elle dérive
Une acquisition ajoute des domaines, un projet ouvre un port, un prestataire publie une base, un certificat expire, une version vulnérable reste en ligne parce que personne n’en est responsable. La surface change par des voies légitimes, sans décision de sécurité, et l’inventaire interne suit avec des semaines de retard.
C’est pourquoi l’unité de mesure utile est la dérive : ce qui apparaît, change ou disparaît d’une observation à l’autre. Un nouveau service joignable compte plus qu’un inventaire figé de deux cents hôtes.
Ce que l’EASM fait et ne fait pas
L’EASM découvre et suit cette surface depuis l’extérieur : il énumère ce qui répond, date chaque apparition et chaque changement, rattache les vulnérabilités connues aux versions annoncées et classe par gravité et par exposition. Il n’exploite rien et ne teste rien : ce n’est ni un test d’intrusion ni un scanner interne.
Il ne remplace pas non plus la gestion des vulnérabilités à l’intérieur des systèmes ; il lui fournit la liste de ce qui est réellement joignable, donc à corriger d’abord.
Comment la réduire
Inventorier depuis l’extérieur, attribuer chaque actif à un responsable, fermer ce qui n’a pas de raison d’être ouvert, corriger ou isoler ce qui doit rester exposé, puis surveiller la dérive pour que l’inventaire ne vieillisse plus. Prioriser par exposition et gravité : un accès distant sans second facteur passe avant un serveur web à jour.
Déclarer le périmètre et en prouver la propriété reste la première étape : personne ne doit pouvoir faire surveiller des adresses qui ne lui appartiennent pas.
Le lien avec les identifiants et les chaînes d’exposition
Un service joignable devient critique quand des identifiants utilisables circulent pour lui : c’est la chaîne d’exposition d’origine « service exposé », dont l’impact est l’accès direct, VPN ou messagerie, et dont le playbook est le durcissement. Regarder la surface sans regarder les fuites, ou l’inverse, laisse cette combinaison invisible.
Questions fréquentes
EASM et scanner de vulnérabilités, quelle différence ?
Le scanner part de ce que vous lui donnez et liste des versions ; l’EASM part de vos domaines et de vos adresses, découvre ce qui répond, y compris ce que vous ne lui avez pas donné, et ne teste rien. L’un dit ce qui est vulnérable, l’autre ce qui est atteignable ; il faut les deux.
Faut-il déclarer toutes nos adresses IP ?
Déclarez vos domaines et vos plages ; la découverte remonte les sous-domaines et les hôtes qui répondent. La propriété est vérifiée avant toute observation, par un enregistrement DNS pour un domaine. Une plage détenue par un hébergeur pour votre compte se déclare avec sa justification.
À quelle fréquence observer la surface ?
Régulièrement, à une fréquence fixée au cadrage selon la taille du périmètre ; la dérive entre deux observations est ce qui compte, et une alerte part à chaque nouvelle exposition critique. Les journaux de transparence des certificats, eux, se suivent en continu.
Que répond votre surface depuis Internet ?
Un cadrage d’une heure avec un analyste dit ce qui répond déjà sous vos domaines et vos plages, sans test intrusif, et ce qu’il vaut la peine de surveiller.
Offre sur mesure : aucun prix public, aucun pack.