« Gestion de la surface d’attaque est le processus d’identification, d’analyse, de priorisation, de remédiation et d’atténuation en continu des vulnérabilités et des vecteurs d’attaque potentiels de cybersécurité d’une organisation » - Prashant Mascarenhas, vice-président principal et chef mondial des ventes et solutions, Cybersécurité, HCLTech

Dans l’environnement actuel, avec la prolifération du cloud, les SaaS, le travail à distance, les applications tierces, le shadow IT, la convergence TI-TO et la montée de l’IA, la surface d’attaque s’étend plus rapidement que la plupart des équipes de cybersécurité peuvent suivre. Toutes ces tendances créent des angles morts de visibilité et accentuent les risques pour l’entreprise.

L’IA prédictive renforce la gestion de la surface d’attaque (ASM) en cartographiant tous les actifs exposés, en prévoyant les faiblesses susceptibles d’être exploitées en priorité et en priorisant ce qui doit être corrigé en premier. Cet article explique comment combler les angles morts, anticiper le risque en fonction du comportement des acteurs malveillants et miser sur la remédiation proactive, avant que les attaquants ne frappent.

Qu’est-ce que la gestion de la surface d’attaque ?

« La gestion de la surface d’attaque est une stratégie proactive de cybersécurité qui identifie et atténue les vecteurs potentiels d’attaque sur l’ensemble de l’empreinte numérique d’une organisation » - Prashant Mascarenhas, vice-président principal et chef mondial des ventes et solutions, Cybersécurité, HCLTech

Qu’est-ce que la surface d’attaque ?

La surface d’attaque d’une entreprise est multidimensionnelle, couvrant les actifs exposés dans Internet, les environnements internes et sa chaîne d’approvisionnement via les fournisseurs et logiciels tiers.

À l’externe, c’est comme chaque porte et fenêtre vers une organisation, comme les domaines et sous-domaines, les charges de travail cloud, les applications web et les API, les VPN, les ports/services exposés, les intégrations tierces, les actifs de développement/test oubliés hébergés dans le cloud et les SaaS. C’est tout ce qui est accessible par Internet et qui peut être exploité. Les logiciels tiers utilisés dans les environnements TI et TO contribuent également à la surface d’attaque de l’organisation par le biais d’attaques de la chaîne d’approvisionnement.

À l’interne, la surface d’attaque englobe les environnements TI et TO, incluant les appareils de bureau, les sous-systèmes TO, l’infrastructure TI, les applications d’entreprise et d’affaires ainsi que les capteurs d’automatisation ; en bref, tout actif connecté au réseau peu importe le protocole ou la méthode de connectivité employée.

Pourquoi la surveillance continue est essentielle

La surface d’attaque d’une organisation change quotidiennement à mesure que de nouveaux services s’ajoutent, que des contractuels se joignent, que des acquisitions se finalisent et que les configurations dérivent. Un inventaire ponctuel est déjà obsolète au moment où il est publié.

En outre, avec les cyberattaques alimentées par l’IA, le paysage des menaces, les exploits de vulnérabilité disponibles et les vecteurs d’attaque changent rapidement eux aussi. Cela modifie les chemins d’attaque potentiels ainsi que les tactiques et techniques utilisées par les attaquants pour mener une attaque ciblée.

Principaux éléments de l’ASM

• Découverte continue : Inventaire automatisé et statut des vulnérabilités de tous les actifs
• Contexte et classification : Criticité métier, sensibilité des données et exploitabilité en temps réel
• Évaluation des risques : Quels actifs et quelles mauvaises configurations posent le plus grand risque de compromission et comment l’impact évolue au gré du paysage des menaces
• Remédiation priorisée et réduction des risques : Tâches hiérarchisées avec des insights actionnables, envoyées aux bonnes équipes résolutrices, avec visibilité sur l’impact métier
• Validation en boucle fermée : Surveiller la dérive après remédiation et confirmer l’efficacité des correctifs. Suivre les exceptions de remédiation et les actions d’atténuation compensatoires
• Surveillance continue : Surveiller en tout temps la surface d’attaque pour suivre les changements, nouvelles vulnérabilités et menaces émergentes en temps réel

Pourquoi la gestion de la surface d’attaque est-elle importante ?

1. Des angles morts nuisent à la visibilité : Si vous ne voyez pas un actif, vous ne pouvez pas le protéger. L’ombre TI/IA, les actifs tiers et les mauvaises configurations sont des cibles privilégiées.
2. La complexité explose : Multi-cloud, télétravail, IdO/TO, la montée de l’IA générative et Agentique et la livraison rapide de logiciels multiplient les points d’entrée exploitables.
3. Prévention proactive : Adresser les vulnérabilités avant que les attaquants ne créent de nouveaux chemins d’attaque, permettant de réduire le temps d’exploitation et les risques pour l’entreprise.
4. Amélioration de la résilience : Minimise les chances de cyberattaques, demeure résilient face aux menaces et donne de la visibilité sur l’évolution du paysage numérique et des nouveaux vecteurs d’attaque.

L’IA a nivelé les règles du jeu pour les attaquants. Les capacités autrefois réservées aux États sont désormais à la portée des groupes criminels organisés. Une réponse pratique, celle de la cybersécurité préventive, où les organisations agissent sur les expositions avant les adversaires plutôt que d’attendre une alerte, s’avère nécessaire.

Conséquences d’une surface d’attaque non gérée

1. Piratages et rançongiciels : Les actifs non corrigés ou inconnus deviennent un point d’entrée pour les attaquants.
2. Perturbation opérationnelle : Les pannes et les coûts de récupération grimpent.
3. Risque réglementaire : Amendes et atteinte à la réputation face à une perte de données ou des interruptions d’exploitation.

À titre d’exemple : Après une fusion, un serveur de développement oublié avec des vulnérabilités non corrigées ou une gestion déficiente des identités à privilèges reste exposé. Les attaquants compromettent le système, atteignent la production et exfiltrent les données clients. Cet incident aurait pu être évité avec une surveillance continue de l’ASM.

Gestion de la surface d’attaque versus gestion des vulnérabilités

« Si la gestion de la surface d’attaque vise à identifier et à remédier de façon proactive aux risques exploitables dans tous les actifs TI-TO-Cloud, la gestion des vulnérabilités s’est traditionnellement concentrée sur la détection et la correction des vulnérabilités connues sur les actifs TI » - Prashant Mascarenhas, vice-président principal et chef mondial des ventes et solutions, Cybersécurité, HCLTech

Comment ASM et VM fonctionnent ensemble

L’ASM découvre des actifs numériques inconnus qui deviennent partie intégrante de la surface d’attaque, lesquels sont ensuite évalués par la VM, créant ainsi un processus continu et complet de gestion de l’exposition.

Mise en œuvre de l’ASM élargit le contexte du processus VM en identifiant plus de cibles potentielles, alors que la VM fournit l’évaluation technique détaillée pour corriger ces expositions, ce qui en fait une pratique de sécurité intégrée puissante, apte à renforcer la posture proactive et réduire les risques pour l’entreprise.

Comment l’IA prédictive améliore la gestion de la surface d’attaque

« L’IA prédictive est fondamentale pour la gestion de la surface d’attaque en tant que discipline. L’IA prédictive permet d’analyser de grands ensembles de données variées, de prévoir les vulnérabilités potentielles et les futurs vecteurs d’attaque, habilitant ainsi les entreprises à adopter une posture proactive en corrigeant avant que les failles ne soient exploitées » - Prashant Mascarenhas, vice-président principal et chef mondial des ventes et solutions, Cybersécurité, HCLTech

Cartographier les actifs exposés à Internet

L’IA prédictive passe au crible les DNS, certificats, API cloud et empreintes web afin de repérer chaque actif accessible de l’extérieur. Elle les regroupe et leur attribue des étiquettes selon le service métier.

• Cas d’utilisation : Découverte d’un sous-domaine inconnu lié à une application marketing héritée
• Bénéfices : Visibilité complète, moins d’efforts manuels, mise à jour plus rapide de l’inventaire
• Points à surveiller : Assurer la qualité des données et la cartographie de l’appartenance pour éviter les faux positifs

Prévoir les vulnérabilités émergentes

Les modèles d’IA fusionnent la cyberveille issue de campagnes, discussions, exploits disponibles, ciblage sectoriel et la pile technologique de l’organisation pour prévoir quelles expositions seront exploitées en priorité.

• Cas d’utilisation : Les indicateurs montrent qu’une campagne ciblant les télécoms évolue vers les systèmes adjacents à la TO. Les signaux prédictifs alertent sur des actifs similaires dans votre environnement pour durcir rapidement la défense contre les TTP ciblant ce secteur
• Bénéfices : Permet de passer du correctif réactif à la défense préventive et l’évitement du risque
• Points de vigilance : Les modèles doivent être adaptés à l’environnement spécifique pour éviter la fatigue des alertes

Priorisation des tâches de remédiation

Tous les risques ne se valent pas. L’IA prédictive calcule les chemins d’attaque potentiels, simule des scénarios de brèche selon l’impact métier et la probabilité d’exploitation, pour générer des insights actionnables pour les équipes TI et DevOps.

• Cas d’utilisation : Une API critique exposée avec authentification faible dans le nouveau code d’une app marketing, une vulnérabilité de sévérité moyenne sur le serveur applicatif exploitable via un appel API et la possibilité de mouvements latéraux depuis le serveur de base de données rattaché – tout cela est signalé comme chemin d’attaque potentiel. L’impact est jugé élevé à cause du risque d’exposition de données-consommateurs et d’effets domino sur les systèmes TI.
• Bénéfices : Permet de réduire plus rapidement et proactivement les risques grâce à des recommandations de remédiation et une meilleure attribution des responsabilités par équipe. Cela optimise l’utilisation des ressources pour des résolutions critiques ponctuelles, alignées sur la prévention de l’impact d’affaires
• Points à surveiller : Associer l’automatisation de la réponse à une revue humaine pour les corrections à fort impact

Bénéfices de l’IA prédictive en cybersécurité

1. Visibilité accrue : Automatise la découverte sur l’ensemble de l’environnement numérique
2. Défense proactive : Anticipe les actions des attaquants et l’émergence de nouveaux exploits
3. Priorités affûtées : Focalise les équipes sur les quelques actions qui comptent le plus
4. Moins de travail manuel : Réduit l’inventaire fait à la main et le suivi dans des tableurs
5. Posture renforcée : Amélioration continue et réduction accélérée du risque

Fonctionnalités clés des solutions de gestion de la surface d’attaque

• Découverte continue d’actifs et visibilité des vulnérabilités : Balayage persistant des domaines, ressources cloud, apps, API et infrastructure TI-TO des actifs connus, identification des actifs non documentés et détection des vulnérabilités et expositions
• Intégration de la cyberveille : Les plateformes d’ASM intègrent la veille externe (maliciels, botnets, dark web, exploits en cours, flux de veille spécifiques à l’organisation), pour donner une vue complète des vecteurs d’attaque possibles
• Surveillance IA-ML prédictive : Prévision des vecteurs d’attaque, de l’exploitabilité des expositions, visualisation des chemins d’attaque et prévision de la sévérité des menaces
• Évaluation et priorisation des risques automatisées : Priorisation des vulnérabilités selon la criticité, l’exploitabilité et la sévérité, permettant aux équipes SecOps, TI et DevOps de cibler d’abord les risques les plus importants
• Intégration et orchestration : Intégration avec les outils d’analyse et de gestion de posture existants pour améliorer la découverte et d’orchestration avec l’automatisation TI, le correctif et les plateformes xDR pour automatiser la réponse
• Outils de rapports et conformité : Preuves pour les audits, indicateurs de performance et visibilité dirigeante

Comment mettre en place la gestion de la surface d’attaque avec l’IA prédictive

Fondamentalement, la gestion de la surface d’attaque ne devrait pas être abordée comme un simple achat technologique, mais structurée en tant que programme stratégique dans la stratégie cybersécurité et gestion des risques de l’organisation.

Les étapes sont les suivantes :

1. Définir les objectifs du programme, dresser l’inventaire des outils de sécurité existants, définir les indicateurs de succès à court et moyen terme, intégrer ou redéfinir les processus opérationnels existants.
2. Sélectionner et intégrer les technologies : Choisir des outils IA offrant les fonctionnalités requises.
3. Identifier et inventorier les actifs exposés : débuter par les domaines, comptes cloud et applications connues.
4. Intégrer l’ASM avec l’IA prédictive : Utiliser des plateformes alliant découverte, cyberveille et priorisation basée sur le risque. Éviter les outils cloisonnés ou le verrouillage fournisseur.
5. Surveiller et analyser en continu : Établir une cadence pour les découvertes, la validation des propriétaires et la détection des dérives.
6. Exploiter l’IA pour prévoir et prioriser : Adapter les modèles au secteur, à la pile technologique et aux systèmes les plus sensibles.
7. Agir sur les insights de l’IA : Automatiser les correctifs à faible risque et soumettre les changements importants à la gestion du changement avec plan de retour arrière.
8. Passer en revue et affiner : Suivre le MTTR, la réduction d’exposition et le taux de faux positifs, et ajuster les modèles/processus chaque trimestre.

Considérations pratiques

• Commencer avec une portée pilote
• Définir la responsabilité pour chaque catégorie d’actif
• Créer un guide de remédiation qui précise les rôles et responsabilités
• Conserver un humain dans la boucle pour les changements sensibles ou critiques pour l’entreprise

« Vous n’avez pas besoin de ressources dignes d’un État. Ce qu’il vous faut, c’est un programme capable de repérer tôt les expositions et d’agir vite sur quelques actions à forte valeur » - Prashant Mascarenhas, vice-président principal et chef mondial des ventes et solutions, Cybersécurité, HCLTech

Défis courants pour une entreprise dans la gestion de sa surface d’attaque

Angles morts de visibilité

• Défi : L’ombre TI/IA, les actifs tiers et les mauvaises configurations passent inaperçus
• Impact : Les expositions inconnues deviennent les voies les plus faciles de compromission
• Atténuation : Découverte automatisée, attribution obligatoire des actifs, rapprochement périodique avec les achats et les registres DNS/certificats

Contraintes de ressources

• Défi : Manque de temps, de budget et de compétences pour le balayage et la correction en continu
• Impact : L’accumulation des correctifs de vulnérabilités s’amplifie et les enjeux critiques s’enterrent
• Atténuation : Priorisation basée sur le risque et cyberveille temps réel, automatisation des flux de remédiation, indicateurs métiers clairs.

Paysage de menaces en évolution

• Défi : L’IA accentue la productivité, la plausibilité et le polymorphisme des attaquants
• Impact : Les attaques ciblées s’étendent au-delà des secteurs traditionnellement prisés
• Atténuation : Les organisations devraient adopter la cybersécurité préventive, grâce à la cyberveille prédictive, l’automatisation de la gestion de l’exposition et, si pertinent, des fonctions complémentaires comme la déception, les honeypots ou la défense mouvante. On prévoit aussi une consolidation des technologies ASM/CTEM alors que de grandes plateformes intègrent des outils spécialisés : planifiez selon ce contexte

« La plupart des acheteurs se tournent vers des plateformes intégrées ; par conséquent, les fournisseurs regroupent les capacités pour offrir des résultats préventifs » - Prashant Mascarenhas, vice-président principal et chef mondial des ventes et solutions, Cybersécurité, HCLTech

Un programme axé sur le risque et maîtrisable

Combiner gestion de la surface d’attaque et IA prédictive transforme un périmètre tentaculaire et changeant en un programme axé sur le risque et gérable.

En comblant les angles morts, en anticipant les expositions les plus susceptibles d’être exploitées et en dirigeant les équipes vers les correctifs à plus grande valeur, les responsables de la sécurité peuvent renforcer le périmètre avant que les attaquants ne passent à l’action. L’approche recommandée est concrète : commencer petit, combiner découverte et analyse prédictive, automatiser ce qui peut l’être et garder un humain dans la boucle pour les décisions critiques.

En fin de compte, les clients recherchent moins de faux positifs, aucun faux négatif, ainsi que confiance et contrôle sur les décisions des modèles – un impératif non négociable.

FAQ

Qu'est-ce qu'une surface d'attaque en cybersécurité ?

Une surface d’attaque désigne l’ensemble des points d'entrée potentiels et vulnérabilités que des attaquants pourraient exploiter afin d’accéder de façon non autorisée aux systèmes d’une organisation.

Comment l’IA prédictive améliore-t-elle la gestion de la surface d’attaque ?

L’IA prédictive améliore la gestion de la surface d’attaque en automatisant la découverte des actifs, en prédisant les vulnérabilités potentielles ainsi que leur impact, et en priorisant les actions correctives selon le renseignement sur les menaces.

Quelle est la différence entre gestion de la surface d’attaque et gestion des vulnérabilités ?

La gestion de la surface d’attaque vise à identifier tous les actifs exposés vers l’extérieur, tandis que la gestion des vulnérabilités cible la correction de faiblesses précises au sein de ces actifs.

Quels sont les avantages de l’utilisation de l’IA en cybersécurité ?

L’IA améliore la cybersécurité en accroissant la visibilité, en prédisant les menaces émergentes, en automatisant la priorisation des risques et en réduisant la charge de travail manuelle pour les équipes de sécurité.

Quels sont quelques exemples de solutions de gestion de la surface d’attaque ?

Il s’agit d’un secteur en forte croissance : quelques exemples incluent des outils comme Palo Alto Networks Cortex Xpanse, CrowdStrike Falcon Surface, Wiz, CyCognito, IBM Randori Recon, Zscaler ASM, Microsoft Defender EASM et les suites ASM issues d’outils VM traditionnels comme Qualys, Tenable et Rapid7, qui offrent la découverte des actifs, l’évaluation des risques et des analyses IA.

Il existe aussi des outils spécialisés comme Seemplicity qui se concentrent sur la correction dirigée par l’IA et les corrections automatisées. De plus, des fournisseurs RBVM comme Cisco VM (anciennement Kenna Security), Ivanti Neurons (jadis RiskSense) et Balbix améliorent eux aussi leurs offres pour intégrer des fonctions ASM.

La technologie et les outils ne constituent qu’un des aspects de la solution de gestion de la surface d’attaque; pour valoriser cet espace, le programme doit aussi reposer sur un bon équilibre entre personnes, processus et un modèle opérationnel transformé.

Comment les organisations peuvent-elles combler les lacunes de visibilité sur leur surface d’attaque ?

Utilisez des outils ASM automatisés qui découvrent et surveillent en continu tous les actifs exposés à Internet, et imposent une propriété claire et des SLA pour la correction.

La gestion de la surface d’attaque est-elle nécessaire pour les entreprises de taille moyenne ?

Oui. Les petites organisations sont fréquemment ciblées, le coût d’attaque ciblée ayant diminué. De plus, ces entreprises manquent souvent de processus de sécurité matures, rendant l’ASM essentiel pour la protection des actifs critiques.

Aussi, les entreprises de taille moyenne ne peuvent rivaliser avec les grandes en matière d’investissements technologiques ni soutenir la rétention de talents hautement spécialisés; tirer profit d’un service géré avec des indicateurs axés sur les résultats est donc une meilleure approche que d’élaborer une solution sur mesure.