Reconnaissance active

Définition

La reconnaissance active désigne la phase d'un test d'intrusion durant laquelle l'opérateur interagit directement avec les systèmes de la cible pour recueillir de l'information : scans de ports, requêtes DNS directes, sondage de bannières de service, énumération de répertoires web, tentatives de connexion à des services exposés. Contrairement à la reconnaissance passive, ces interactions génèrent des paquets réseau et des journaux applicatifs qui laissent des traces exploitables par les dispositifs de détection, notamment les systèmes de détection d'intrusion réseau et les pare-feux journalisant les tentatives de connexion. Elle est plus risquée en termes de détection mais fournit une information plus précise et plus fraîche que les sources passives, notamment sur les versions exactes des services en cours d'exécution et les ports réellement ouverts au moment du test. Un bon opérateur ajuste la vitesse et la discrétion de ses scans en fonction du contexte de la mission, entre furtivité maximale pour un test red team visant à éviter la détection, et rapidité assumée pour un audit de vulnérabilités classique où la discrétion n'est pas un objectif. Pour les équipes défensives, la reconnaissance active constitue le premier point d'observation exploitable dans une chaîne d'attaque : journaliser les scans de ports, les requêtes DNS anormales en volume et les tentatives d'énumération de répertoires permet de détecter une intrusion dès sa phase la plus précoce, avant toute exploitation effective.