OSINT et reconnaissance pour les defenseurs : cartographiez votre propre surface d'attaque

Le renseignement en sources ouvertes (OSINT) est la pratique consistant a collecter et analyser des informations deja publiques : enregistrements DNS, depots de code, offres d'emploi, profils d'employes, journaux de transparence des certificats, buckets de stockage cloud et d'innombrables autres traces qu'une organisation laisse derriere elle. Les adversaires s'appuient sur l'OSINT parce qu'il est discret, peu couteux et touche rarement la cible directement. Pour les defenseurs, la meme discipline est un cadeau : si vous regardez votre organisation comme le ferait un tiers, vous pouvez trouver les expositions avant que quelqu'un d'autre ne les transforme en arme. Cet article aborde la reconnaissance du point de vue de la blue team : comprendre comment fonctionne le profilage afin de le detecter, de reduire ce que vous laissez fuiter et de surveiller en continu votre propre empreinte.

Ce qu'est reellement la reconnaissance OSINT#

La reconnaissance est la premiere phase de presque toute intrusion. Avant de toucher un formulaire de connexion ou d'envoyer un courriel de hameconnage, un attaquant construit une image de la cible : quels domaines et sous-domaines existent, quelles technologies alimentent la pile web, qui y travaille et dans quels roles, et a quels tiers l'on fait confiance. L'OSINT est la moitie passive de cet effort. Il s'appuie sur des sources que l'organisation a publiees — deliberement ou par accident — et sur des agregateurs qui indexent l'internet public. Comme rien n'est encore exploite, l'OSINT genere peu ou pas de trafic contre vos systemes, ce qui explique pourquoi il est difficile a detecter et pourquoi l'auto-evaluation proactive compte ici davantage que la detection.

Comment les adversaires construisent l'image#

Un flux de profilage typique part d'une seule graine, comme un nom d'entreprise ou un domaine principal, et s'etend vers l'exterieur. A partir du domaine, un analyste enumere les enregistrements DNS et les sous-domaines, extrait des donnees historiques aupres de fournisseurs de DNS passif et lit les journaux de transparence des certificats, qui consignent publiquement chaque certificat TLS jamais emis — y compris pour des noms d'hote a consonance interne comme vpn-test ou staging-admin. En parallele, il recolte des personnes : noms, titres et modeles d'adresses e-mail depuis les reseaux professionnels, les conferences et les communiques de presse, qui revelent la convention de nommage des e-mails (par exemple prenom.nom@entreprise.com) et l'organigramme. Les hebergeurs de code publics sont fouilles a la recherche de secrets divulgues, d'URL internes et de listes de dependances. Les stockages cloud et les buckets mal configures sont verifies pour des fichiers lisibles. Le resultat est une carte de votre surface externe et une liste de cibles humaines, le tout assemble sans jamais vous attaquer.

Votre surface d'attaque exposee#

La surface que voit un attaquant est plus large que ne le supposent la plupart des equipes. Elle comprend des sous-domaines oublies pointant vers des services demanteles (un risque classique de prise de controle de sous-domaine), des environnements de developpement et de preproduction exposes a internet, des entrees DNS expirees mais qui resolvent encore, des metadonnees integrees dans des documents publies (noms d'auteur, chemins de fichiers internes, versions de logiciels), des points de terminaison d'API references dans le JavaScript cote client et des empreintes technologiques divulguees par les en-tetes HTTP et les pages d'erreur. Chacun est un fait public legitime : l'objectif defensif n'est pas de faire oublier l'internet, mais de garantir que ce qui est public est intentionnel, actuel et non sensible.

Detection : reperer les signaux de reconnaissance#

L'OSINT passif est en grande partie invisible, mais la transition de la reconnaissance passive a la reconnaissance active — quand un attaquant commence a sonder vos actifs — laisse une telemetrie que vous pouvez capter. Surveillez les journaux web et WAF a la recherche de schemas d'enumeration : rafales de 404 sur des chemins devines, demandes de fichiers d'administration ou de sauvegarde courants, et agents utilisateurs de force brute d'annuaire. Surveillez les journaux de requetes DNS pour detecter la devinette rapide de sous-domaines contre vos serveurs autoritaires. Mettez en place une surveillance de la transparence des certificats afin d'etre alerte des qu'un certificat est emis pour un nom sous vos domaines : cela attrape a la fois le shadow IT et les adversaires qui provisionnent des domaines ressemblants pour le hameconnage. Deployez des canary tokens : fausses identifiants, documents-appats ou sous-domaines-leurres qui ne devraient jamais etre touches ; toute interaction avec eux est un signal de haute confiance. Correlez les pics de balayage depuis un seul ASN ou une plage cloud dans votre SIEM, et alertez sur l'acces a des points de terminaison qui existent mais ne sont lies nulle part.

Sources de detection a cabler#

Concretement, alimentez votre supervision avec : des flux de transparence des certificats filtres sur vos domaines enregistres ; des alertes de changement de DNS passif ; la decouverte de nouveaux sous-domaines depuis vos propres scans recurrents ; la surveillance de GitHub et des sites de collage pour vos noms de domaine et identifiants internes ; la surveillance de marque et de typosquattage pour les domaines ressemblants ; et l'analytique WAF/CDN pour les rafales de balayage. Cote poste de travail et reseau, la telemetrie EDR et NDR ne voit generalement pas l'OSINT passif, mais elle est votre filet de securite pour le moment ou la reconnaissance devient interaction. Le principe est la defense en profondeur : vous ne pouvez pas detecter la lecture de donnees publiques, alors vous detectez le moment ou cette lecture est mise en oeuvre.

Attenuation et durcissement#

Reduire l'exposition OSINT releve surtout d'une hygiene disciplinee. Inventoriez chaque domaine et sous-domaine et retirez ce dont vous n'avez pas besoin ; une empreinte plus petite est une cible plus petite. Supprimez les enregistrements DNS qui pointent vers des ressources demantelees pour fermer les chemins de prise de controle de sous-domaine. Gardez les environnements hors production hors de l'internet public ou derriere une authentification et des listes d'IP autorisees. Retirez les metadonnees des documents avant publication et standardisez des modeles qui n'integrent pas de chemins internes. Auditez les depots de code publics a la recherche de secrets et imposez un balayage de secrets avant commit ainsi qu'une protection de push cote serveur pour que les identifiants n'atteignent jamais l'historique. Generalisez les pages d'erreur et supprimez les en-tetes revelant les versions pour attenuer l'empreinte technologique. Comme les conventions d'e-mail se devinent trivialement, ne traitez pas une adresse valide comme un secret : investissez le budget dans une authentification resistante au hameconnage.

Reduire la surface humaine#

Les personnes sont la source OSINT la plus riche, et vous ne pouvez pas interdire aux employes d'avoir des profils publics. Augmentez plutot le cout de l'utilisation de ces informations. Formez le personnel a reconnaitre le pretexting et le hameconnage cible qui reference de vrais projets ou collegues. Imposez une authentification multifacteur resistante au hameconnage (cles de securite FIDO2 ou passkeys) afin qu'un mot de passe recolte plus un leurre convaincant ne suffisent pas. Limitez le niveau de detail operationnel dans les offres d'emploi : lister votre pile de securite exacte aide autant les candidats que les attaquants. Etablissez un canal clair et connu pour signaler les contacts suspects, et recompensez les signalements plutot que de punir celui qui signale.

Pieges courants#

Les equipes trebuchent de facon previsible. Elles surveillent soigneusement la production tout en oubliant la profusion de sous-domaines oublies et de vieux microsites marketing. Elles traitent la transparence des certificats comme du bruit plutot que comme un systeme d'alerte precoce gratuit. Elles scannent leur surface une fois lors d'un audit et jamais plus, si bien que la derive reintroduit des expositions en quelques semaines. Elles reagissent a un secret divulgue en supprimant le fichier mais oublient de faire tourner l'identifiant, le laissant valide dans l'historique Git et entre les mains de l'attaquant. Et elles confondent obscurite et securite : cacher un point de terminaison ne le protege pas. Supposez que tout ce qui est public est deja connu et securisez-le en consequence.

Liste de controle du defenseur#

Utilisez ceci comme routine recurrente. Tenez un inventaire vivant des domaines, sous-domaines et plages d'IP publiques. Executez une decouverte externe recurrente et comparez les resultats pour capter les nouvelles expositions. Abonnez-vous aux alertes de transparence des certificats pour tous vos domaines. Surveillez les hebergeurs de code et les sites de collage pour vos identifiants et faites tourner immediatement tout secret expose. Deployez des canary tokens sur le stockage, les identifiants et les hotes-leurres. Supprimez ou authentifiez chaque environnement hors production. Retirez les metadonnees des documents et generalisez les reponses d'erreur. Imposez partout une MFA resistante au hameconnage. Menez des exercices cibles de sensibilisation au hameconnage et au pretexting. Revisez et elaguez les offres d'emploi publiques et l'exposition sociale des roles sensibles. Reexecutez tout le cycle selon un calendrier fixe, car la surface d'attaque n'est jamais statique.

FAQ : la reconnaissance OSINT est-elle illegale ?#

Collecter des informations disponibles publiquement est generalement licite, ce qui explique precisement pourquoi les adversaires s'y fient et pourquoi vous ne pouvez pas l'empecher. Ce qui franchit les limites legales et ethiques, c'est l'acces non autorise, l'exploitation ou les campagnes d'ingenierie sociale contre vos personnes. Pour les defenseurs, cela recadre l'objectif : vous ne cherchez pas a empecher les gens de lire des donnees publiques, mais a garantir que les donnees publiques ne sont pas sensibles et a detecter le moment ou la reconnaissance devient une attaque.

FAQ : a quelle frequence devons-nous evaluer notre propre empreinte ?#

En continu pour les sources a fort signal et periodiquement pour le balayage complet. La surveillance de la transparence des certificats, des hebergeurs de code et des sites de collage devrait s'executer quasiment en temps reel car elle fait remonter des expositions fraiches. Une decouverte externe complete — sous-domaines, services exposes, metadonnees, stockage cloud — devrait s'executer au moins mensuellement et apres tout changement majeur d'infrastructure, car les environnements cloud et le DNS derivent vite. Traitez votre surface d'attaque comme un inventaire vivant, non comme un rapport ponctuel.

Conclusion#

La reconnaissance OSINT est inevitable parce qu'elle utilise des informations que vous avez deja rendues publiques. La reponse defensive consiste a regarder en premier : profilez-vous comme le ferait un adversaire, reduisez et curez ce qui est expose, cablez des sources d'alerte precoce comme la transparence des certificats et les canary tokens, et detectez le basculement de la collecte passive au sondage actif. La reconnaissance est discrete, mais les expositions qu'elle trouve sont des choses que vous pouvez corriger. En transformant la methodologie meme de l'attaquant en une auto-evaluation continue, vous convertissez un avantage de renseignement en avantage defensif et rendez la premiere phase de toute intrusion bien moins productive.