Surface d'attaque

Ce que ça change pour une organisation

Le glossaire du NIST définit la surface d’attaque comme l’ensemble des points situés à la frontière d’un système, d’un composant ou d’un environnement, où un attaquant peut tenter d’entrer, d’agir ou d’extraire des données. Pour une organisation, elle comprend les services exposés sur Internet, les équipements de bordure, les applications, les comptes et les prestataires connectés. S’y ajoute la surface d’attaque informationnelle : les informations publiques sur l’organisation (offres d’emploi, documents mis en ligne, enregistrements DNS) qu’un attaquant peut assembler lors de sa phase de reconnaissance, comme le montre le guide d’OSINT défensif.

Réduire cette surface suppose d’abord de la connaître, par un inventaire des actifs exposés, puis de désactiver les fonctionnalités inutilisées, ce que recommande l’OWASP, et de la réévaluer chaque fois qu’elle change, car toute évolution appelle une nouvelle analyse des menaces. Le cloisonnement du réseau et l’application régulière des correctifs complètent la démarche.

Exemple

Dans son Panorama de la cybermenace 2024, l’ANSSI indique que plus de la moitié de ses opérations de cyberdéfense, qui constituent son plus haut niveau d’engagement en réponse à incident, avaient pour origine l’exploitation de vulnérabilités sur des équipements de sécurité situés en bordure du système d’information. Le rapport explique que la surface d’attaque de ces équipements est rendue importante par l’accumulation, au fil du temps, de nombreuses fonctionnalités, dont certaines reposent sur des briques logicielles obsolètes.

À ne pas confondre avec

• Une vulnérabilité : faiblesse précise d’un logiciel ou d’un équipement, alors que la surface d’attaque regroupe l’ensemble des points d’accès où une telle faiblesse peut être exploitée.
• La menace : l’acteur ou la technique susceptible de s’en prendre à l’organisation, tandis que la surface d’attaque décrit ce qui lui est exposé.