On découvre des sous-domaines et des serveurs oubliés : outil EASM indispensable ou exagération ?

Les registres de transparence des certificats sont une vraie mine d'or. Chaque certificat émis pour votre domaine y est consigné publiquement. Avec une commande open source basique dans le terminal, vous pouvez récupérer tous ces enregistrements et programmer un cron qui vérifie s'ils répondent toujours sur le DNS. Ça retrouve tout ce qui traîne, pour zéro euro de licence.

On a payé 14 000 dollars par an l'année dernière suite à une frayeur similaire. Sur toute l'année, le système nous a juste alertés sur trois vieux sous-domaines de dev oubliés et deux certificats SSL proches de l'expiration. Vu que ça ne valait absolument pas le coup, on n'a pas renouvelé cette année, on est repassés sur un script Python hebdo codé par un collègue en interne.

La majorité de ces outils sur le marché ne sont que de jolies interfaces qui interrogent des serveurs DNS publics et des bases de données de scan de ports. Les commerciaux vous vendent ça comme de la magie noire. Faire payer une fortune à des PME pour ces dashboards c'est juste une technique de vente basée sur la peur.

La toute première chose à faire dès aujourd'hui, c'est de purger tous les enregistrements CNAME inutilisés dans votre panneau DNS. Des CNAME orphelins pointant vers d'anciens prestataires ouvrent la porte aux attaques par prise de contrôle de sous-domaine (subdomain takeover). Nettoyez les enregistrements poubelles de votre registrar avant même de penser à acheter un outil.

pareil chez nous, le stagiaire a scrapé les logs cert transparency en ligne de commande et a sorti les vieilles URL de staging en 15 minutes. au lieu de lâcher 15k par an mettez plutôt cet argent dans des audits de sécu ou des tests d'intrusion imo.

Du point de vue de l'analyse des risques d'entreprise, la mise à jour de l'inventaire des actifs est indispensable pour les audits. En revanche, les normes d'audit n'exigent pas un logiciel tiers onéreux, mais une procédure formalisée et appliquée de gestion des actifs. Des rapports de contrôle mensuels rédigés par vos soins suffisent amplement pour être conforme.

Mais du coup, il y avait de vraies données clients sur ce serveur oublié ou c'étaient seulement des données de test synthétiques ? S'il y a eu un risque de fuite de données réelles, il faudrait peut-être vous concentrer sur la gestion d'incident et les déclarations légales obligatoires avant de chercher un outil, vous avez vérifié ce point ?

J'écris cela pour éviter que vous ne fassiez la même erreur. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis dans la même situation, c'est pourquoi je pose la question. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

C'est confirmé par l'expérience.

Nous avons vécu presque la même chose l'année dernière. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Vous avez raison. Essayer de faire cela seul est la voie la plus coûteuse.

Je le note au cas où.

Je vais résumer ce qui a été dit jusqu'ici. Quand on essaie de tout changer en même temps rien ne prend.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Cette approche a un coût dont on ne parle pas. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Si vous avez des questions écrivez-moi je répondrai au mieux.

Je suis d'accord. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

je suis du même avis. un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

si vous avez des questions écrivez-moi je répondrai au mieux.

j'ai vécu la même chose. la réponse varie beaucoup selon le secteur il n'y a pas de règle générale.

si vous avez des questions écrivez-moi je répndrai au mieux.

Pour entrer dans le détail : La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Quand on essaie de tout changer en même temps rien ne prend. Bien sûr cela change si votre situation est différente.

Vous avez raison, je suis aussi passé par là. Quand on décide sans mesurer, on revient toujours au même point.

C'est mon avis, je ne l'écris pas comme une vérité absolue.