Derrière les attaques spectaculaires, des failles élémentaires.
Les attaques sont sophistiquées à raconter, élémentaires à l'origine. Pourquoi les fondamentaux restent le premier rempart.
Posez la question à n'importe quelle direction : « combien de serveurs exposés sur Internet avez-vous ? » La réponse arrive vite, avec assurance, et elle est presque toujours fausse. Pas par négligence : parce que personne ne tient la liste, et que chacun connaît très bien sa partie du système. Le directeur technique compte les machines qu'il administre. Le marketing a ouvert un site vitrine chez un hébergeur, avec sa propre carte bancaire. Un prestataire a laissé un environnement de test en ligne après la fin du projet. Additionnez : le total réel dépasse systématiquement l'estimation.
C'est un trousseau dont on ne connaît plus toutes les clés. On sait ouvrir les portes qu'on utilise tous les jours. Les autres sont quelque part sur l'anneau, et on ne sait plus sur quoi elles donnent.
En résumé
- Demandez à une direction combien de serveurs elle expose sur Internet : la réponse arrive vite, avec assurance, et elle est presque toujours fausse - non par négligence, mais parce que chacun ne connaît que sa partie.
- Le défaut d'un inventaire incomplet est cruel : il ne déclenche aucune alerte, il produit des indicateurs au vert sur un périmètre partiel. C'est plus dangereux qu'une absence totale de mesure, parce qu'on cesse de chercher.
- Trois conséquences concrètes : le test d'intrusion valide ce que vous surveilliez déjà, le SOC ne voit rien de ce qui ne lui est pas branché, et le taux de correctifs se calcule sur les machines listées, pas sur celles qui existent.
- Cinq colonnes suffisent : quoi, qui (un nom de personne, pas un service), à quoi ça sert, exposition, criticité sur trois niveaux. Un inventaire trop riche n'est jamais tenu à jour, donc il devient faux.
- La méthode qui tient croise trois sources - la vue extérieure, la vue intérieure, et ce que les gens savent - et s'intéresse à leurs désaccords : l'écart n'est pas un défaut de données, c'est le résultat.
- Le réflexe qui fait perdre deux ans : commencer par l'outil. Un balayage rend douze mille lignes ; il trouve des adresses, jamais « à quoi ça sert et qui s'en occupe ».
- Par où commencer lundi : une demi-journée sur ce qui est exposé sur Internet, un propriétaire nommé pour chaque élément, puis confrontation à la facturation.
Pourquoi c'est la première marche, et pas une formalité
L'inventaire n'est pas un exercice administratif : c'est ce qui conditionne la valeur de tout le reste. Trois exemples concrets.
- Un test d'intrusion se négocie sur un périmètre. Vous listez ce que vous connaissez, le prestataire teste cette liste, le rapport est rassurant. Le serveur oublié, lui, n'a jamais été testé - et c'est statistiquement le plus vulnérable, puisque personne ne le met à jour. Vous avez payé pour valider ce que vous surveilliez déjà.
- Une surveillance ne voit que ce qu'on lui a branché. Un SOC analyse les journaux qu'on lui envoie. Une machine hors inventaire n'envoie rien : elle est invisible, en permanence, et le tableau de bord reste vert pendant l'intrusion.
- Un correctif ne s'applique qu'aux machines connues. Une faille critique est publiée, vous corrigez votre parc en 48 h, vous êtes fier du délai. Le taux réel de couverture est le nombre de machines corrigées divisé par le nombre de machines existantes, pas par le nombre de machines listées.
Dans les trois cas, le défaut est le même et il est cruel : il produit une mesure rassurante. Un inventaire incomplet ne déclenche aucune alerte. Il fabrique des indicateurs au vert sur un périmètre partiel, ce qui est plus dangereux qu'une absence totale de mesure - on cesse de chercher.
Le réflexe qui fait perdre deux ans
Beaucoup d'organisations attaquent l'inventaire par l'outil : on achète une solution de découverte, on lance un balayage, on obtient douze mille lignes. Personne ne sait quoi en faire, le fichier vieillit, et deux ans plus tard on recommence. L'outil trouve des adresses ; l'inventaire utile répond à « à quoi ça sert, qui s'en occupe, et qu'est-ce qui tombe si ça s'arrête ». Cette seconde partie ne se découvre pas automatiquement, elle se demande aux gens.
Ce qu'un inventaire doit contenir - et ce qu'il faut lui épargner
La tentation est d'être exhaustif. C'est l'erreur : un inventaire trop riche n'est jamais tenu à jour, donc il devient faux, donc on cesse de s'y fier. Visez le minimum qui permet de décider, soit cinq colonnes.
- Quoi - le nom de la chose, tel que les gens l'appellent réellement, pas sa référence technique.
- Qui - un nom de personne, pas un service. Un actif sans propriétaire nommé est un actif que personne ne corrigera.
- À quoi ça sert - une phrase en langage métier. C'est elle qui permettra d'arbitrer en situation de crise, quand il faudra choisir quoi remettre en route d'abord.
- Exposition - accessible depuis Internet, ou seulement de l'intérieur ? C'est le tri le plus rentable : il désigne immédiatement ce qui mérite votre attention en premier.
- Criticité - trois niveaux suffisent. Cinq relèvent d'un débat, dix d'une discussion sans fin.
Ce qui n'a pas sa place ici : le numéro de série, la version exacte du système, le nom du contrat de maintenance. Ces informations sont utiles, elles vivent ailleurs, dans les outils qui les produisent automatiquement. Les recopier à la main dans l'inventaire, c'est garantir qu'elles seront périmées dans trois mois.
La méthode qui tient : croiser trois sources
Aucune source unique n'est complète. La bonne approche consiste à en confronter trois, et surtout à s'intéresser à leurs désaccords.
- Ce que vous voyez de l'extérieur. Vos noms de domaine, vos plages d'adresses, vos certificats. C'est la vue de l'attaquant, et c'est la plus instructive : elle révèle ce que vous exposez sans le savoir.
- Ce que vous voyez de l'intérieur. L'annuaire, les consoles cloud, les outils de gestion de parc. Précis sur ce qu'ils couvrent, aveugles au reste.
- Ce que les gens savent. La comptabilité connaît les abonnements informatiques payés par carte : c'est souvent la meilleure source pour découvrir le SaaS que la direction technique ignore. Les chefs de projet savent quels environnements de test n'ont jamais été fermés.
L'écart entre ces trois vues n'est pas un problème de qualité de données : c'est le résultat. Chaque machine vue de l'extérieur mais absente de l'annuaire est exactement le type d'actif par lequel une intrusion commence.
Un inventaire vit ou meurt sur sa mise à jour
Un inventaire juste le jour de sa livraison et faux six mois plus tard n'a servi à rien. La seule méthode qui fonctionne : l'accrocher à un processus qui existe déjà et qui, lui, ne s'arrête jamais. La mise en service d'un serveur, l'ouverture d'un compte fournisseur, la fin d'un projet. Un inventaire mis à jour « quand on aura le temps » n'est pas mis à jour.
Par où commencer lundi matin
Pas par un projet de six mois. Par une demi-journée, sur le périmètre qui compte le plus :
- Listez ce qui est exposé sur Internet. Rien d'autre. C'est la surface qu'un attaquant peut atteindre sans rien faire de spécial.
- Pour chaque élément, trouvez un propriétaire nommé. Les cases que vous n'arrivez pas à remplir sont votre première liste de travail - un actif sans propriétaire est un actif qu'il faut fermer ou adopter, jamais laisser en l'état.
- Confrontez cette liste à la facturation. Vous trouverez des choses.
- Décidez ensuite, et seulement ensuite, si un outil de découverte vous est utile. Vous saurez quoi lui demander.
L'inventaire n'est pas la partie noble de la cybersécurité. C'est celle qui détermine si tout le reste porte sur la réalité ou sur une représentation confortable.
Savoir ce que vous exposez
Kenawek cartographie votre surface exposée, la confronte à ce que vous pensez avoir, et vous laisse un inventaire tenable - pas un fichier de douze mille lignes. Parlons-en.