La cybersécurité est un jeu de cache-cache où les techniques employées par les adversaires pour localiser des actifs exposés et vulnérables supplantent trop souvent l’aptitude des entreprises à identifier le problème.
Une récente étude publiée par le cabinet Gartner révèle que l’élargissement de la surface d’attaque est la principale tendance à la prolifération des cybermenaces. Parallèlement, un rapport de l’Enterprise Strategy Group sur l’hygiène numérique et la gestion de la posture de sécurité révèle qu’environ 69 % des entreprises admettent avoir été victimes d’au moins une cyberattaque initiée par l’exploitation d’un actif connecté à Internet, qu’il soit inconnu, bien managé ou non.
À l’heure où de nombreuses entreprises adoptent définitivement le travail à distance ou hybride, les menaces ne cessent de proliférer. Les cyberattaques ont de beaux jours devant elles.
La surface d’attaque : une notion à ne pas ignorer !
La notion de « surface d’attaque » désigne l’ensemble des risques auxquels l’environnement logiciel d’une entreprise est exposé en termes de sécurité. Cela englobe toutes les vulnérabilités connues et inconnues qui caractérisent l’ensemble des composants matériels, logiciels et réseaux. Il est primordial que les entreprises aient une connaissance précise de leur surface d’attaque afin de mettre en place les mesures de sécurité appropriées.
On peut distinguer généralement trois types de surfaces d’attaque. Tout d’abord, il y a la surface d’attaque numérique qui comprend l’ensemble du réseau et l’environnement logiciel d’une entreprise, y compris les applications, le code, les ports et autres points d’entrée et de sortie. Ensuite il y a la surface d’attaque physique, qui concerne les terminaux utilisés par les collaborateurs de l’entreprise, tels que les ordinateurs de bureau ou portables, les terminaux mobiles, les objets connectés (IoT) et les ports USB.
Enfin, il y a les attaques par ingénierie sociale qui exploitent les vulnérabilités propres aux utilisateurs humains. Les méthodes d’attaques les plus courantes sont l’hameçonnage (spear phishing) et les techniques sophistiquées visant à tromper les employés afin qu’ils divulguent des informations vitales sur leur entreprise.