Surveillance de la surface d'attaque ou EDR et XDR : un complément, pas un concurrent

La surveillance de la surface d'attaque externe et l'EDR ou le XDR répondent à des questions différentes. L'EDR (endpoint detection and response) et le XDR (extended detection and response) surveillent ce qui se passe sur vos ordinateurs portables, serveurs, comptes cloud et votre réseau : processus, connexions, modifications de fichiers, comportements suspects. La surveillance de la surface d'attaque externe observe l'image que votre entreprise donne sur Internet : domaines, DNS, certificats, paramètres de messagerie, sites web et services ouverts.

La réponse courte est donc : ils ne se font pas concurrence. L'EDR et le XDR vous signalent qu'il se passe quelque chose à l'intérieur. La surveillance externe vous indique quelles portes sont visibles de l'extérieur, souvent avant que quiconque n'y touche, et couvre des éléments qui ne tournent jamais sur un appareil que vous gérez.

Si vous payez déjà une plateforme EDR ou XDR, cet article explique ce qu'elle ne voit pas et comment combler cet écart sans acheter une deuxième fois la même capacité.

Ce que l'EDR et le XDR font bien

L'EDR installe un agent sur chaque poste. Il enregistre l'activité des processus, bloque les comportements malveillants connus et permet à un analyste d'enquêter et d'isoler une machine. Le XDR étend la même idée en corrélant les signaux de davantage de sources, comme les passerelles de messagerie, les fournisseurs d'identité, les charges de travail cloud et les sondes réseau.

Les deux excellent pour :

• Détecter les logiciels malveillants et les comportements suspects sur les appareils gérés.
• Repérer les connexions inhabituelles et les mouvements latéraux dans le réseau.
• Fournir aux équipes de réponse une chronologie de ce qui s'est passé sur une machine.
• Contenir un incident en isolant un hôte ou en désactivant un compte.

Leur champ de vision commence là où leurs agents et intégrations sont installés.

Ce qu'ils ne peuvent pas voir

Une grande partie de l'exposition d'une entreprise se trouve sur des systèmes sans agent, ou que vous n'exploitez pas du tout :

• DNS et domaines. Un changement de serveurs de noms, un domaine proche de l'expiration ou un transfert de registrar se produit chez votre registrar, pas sur un poste (voir les changements de serveurs de noms et de registrar).
• Authentification des e-mails. Sans DMARC, quelqu'un peut envoyer depuis ses propres serveurs des messages qui ressemblent aux vôtres. Votre EDR ne voit jamais ces messages.
• Les domaines similaires et les fausses pages de connexion hébergés sur l'infrastructure de quelqu'un d'autre.
• Les hôtes oubliés : un ancien site de préproduction chez une agence, une page marketing sur un outil de création hébergé, un serveur de test sur lequel personne n'a installé d'agent. Voir les serveurs de préproduction et de test oubliés.
• Les certificats TLS émis pour vos noms, et leur expiration.
• Les services exposés sur Internet sur des hôtes absents de votre inventaire.

Ce sont précisément les éléments qu'un attaquant étudie en premier. MITRE ATT&CK fait de la reconnaissance une tactique à part entière, avec des techniques comme la recherche dans des bases de données techniques ouvertes et sur les sites web de la victime. Tout cela se passe avant l'exécution du moindre logiciel malveillant.

De l'intérieur vers l'extérieur, et inversement

Une façon simple de le formuler est de parler de direction.

• De l'intérieur vers l'extérieur (EDR, XDR) : partir des appareils que vous connaissez et les surveiller de près.
• De l'extérieur vers l'intérieur (surveillance de la surface d'attaque externe) : partir de ce qu'Internet montre de votre entreprise et remonter jusqu'à ce que vous possédez.

La vue de l'extérieur est aussi la manière de trouver les appareils dont vous ignoriez l'existence. Si un hôte apparaît sous votre domaine et que votre console EDR n'en a jamais entendu parler, vous avez trouvé une lacune de couverture, pas seulement une lacune de configuration.

Dans le NIST Cybersecurity Framework 2.0, les fonctions principales sont Govern, Identify, Protect, Detect, Respond et Recover. L'EDR et le XDR travaillent surtout dans Detect et Respond. La surveillance externe alimente Identify (connaître vos actifs et votre exposition) et Protect (corriger les réglages faibles avant qu'ils ne soient exploités), et elle ajoute un signal Detect précoce pour les changements effectués en dehors de votre réseau.

Comment vérifier si vous avez un angle mort

Un exercice rapide pour votre équipe informatique :

1. Exportez la liste des hôtes couverts par votre EDR ou XDR.
2. Constituez une liste des noms d'hôtes sous vos domaines, par exemple depuis crt.sh avec %.yourcompany.com, en y ajoutant votre zone DNS.
3. Résolvez chaque nom et comparez :

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Marquez chaque nom qui pointe vers une IP ou un service non couvert par vos agents.
2. Vérifiez DMARC et les serveurs de noms, sur lesquels aucun outil de poste ne rend compte :

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Tout ce qui ressort à l'étape 4, ou un résultat faible à l'étape 5, échappe à votre détection actuelle.

Faire travailler les deux ensemble

• Envoyez les constats externes dans la même file de tickets que celle de votre équipe sécurité, pour éviter un silo séparé.
• Quand la surveillance externe découvre un nouvel hôte, décidez : installer l'agent, le placer derrière un contrôle d'accès ou le supprimer.
• Utilisez les alertes externes (nouveau certificat, enregistrement DNS modifié) comme contexte dans les investigations XDR.
• Traitez en priorité les services exposés présentant des failles activement exploitées ; la CISA tient pour cela un catalogue des vulnérabilités exploitées connues.

Une courte liste de contrôle

• Connaissons-nous chaque nom d'hôte sous nos domaines, et chacun a-t-il un responsable ?
• Chaque serveur que nous exploitons a-t-il un agent, ou une raison documentée de ne pas en avoir ?
• Qui est alerté quand les serveurs de noms, le registrar ou les enregistrements MX changent ?
• DMARC est-il en mode application ?
• Les ports d'accès à distance et de bases de données sont-ils fermés à Internet ?

La place de Datahorses

Datahorses, c'est la vue de l'extérieur. Nous surveillons votre entreprise depuis l'extérieur chaque jour, voyons ce qu'un attaquant peut voir et vous envoyons chaque constat avec les étapes précises de correction, sans entrer dans vos systèmes ni demander d'accès. Datahorses se place à côté de votre EDR ou XDR, sans le remplacer ; voir comment nous surveillons et pourquoi aucun accès n'est nécessaire.