Attack Surface Management

Définition

L'Attack Surface Management (ASM, gestion de la surface d'attaque) désigne le processus continu de découverte, d'inventaire, de classification et de surveillance de tous les actifs exposés d'une organisation susceptibles d'être exploités par des attaquants, incluant les applications web, les APIs, les services cloud, les certificats, les domaines, les adresses IP, et les dépendances tierces. En DevSecOps, l'ASM automatise la réponse à la question "qu'est-ce qu'un attaquant peut atteindre depuis l'extérieur de notre organisation ?" La surface d'attaque d'une organisation moderne est dynamique et souvent inconnue dans sa totalité : de nouvelles applications sont déployées dans des environnements cloud (Shadow IT), des branches expirées de repos GitHub restent publiques avec des endpoints actifs, des services de test sont déployés et oubliés, des acquisitions apportent des actifs non inventoriés, et des dépendances tierces exposent des APIs non documentées. Sans ASM automatisé, la surface d'attaque réelle est toujours plus large que l'inventaire supposé. Les outils d'ASM modernes combinent : la découverte DNS (reverse DNS, bruteforce de sous-domaines via tools comme subfinder, amass), le scan de ports et de services (Shodan, Censys, masscan), l'identification d'applications web (WhatWeb, Wappalyzer), la détection de certificats TLS (Certificate Transparency Logs via crt.sh), et la corrélation avec des bases de vulnérabilités connues. Des plateformes ASM commerciales (Cybelangel, Detectify, Shodan Monitor, Wiz) agrègent ces sources et fournissent une vue unifiée et continue de la surface d'attaque. L'intégration de l'ASM dans le cycle DevSecOps signifie que chaque nouveau déploiement (API, microservice, infra cloud) est automatiquement découvert et ajouté à l'inventaire de la surface d'attaque, avec scan de sécurité déclenché, et toute exposition non attendue (port ouvert inattendu, service exposé sans authentification) génère une alerte immédiate — rather qu'être découverte par un attaquant.