Reconnaissance passive

Définition

La reconnaissance passive désigne la phase d'un test d'intrusion ou d'une attaque durant laquelle l'opérateur collecte des informations sur la cible sans jamais interagir directement avec ses systèmes, en s'appuyant exclusivement sur des sources tierces : bases WHOIS, journaux de certificats transparents, moteurs de recherche spécialisés comme Shodan ou Censys, réseaux sociaux, dépôts de code source publics, archives web historiques, et fuites de données antérieures. Cette absence d'interaction directe avec la cible rend la reconnaissance passive quasiment indétectable par les dispositifs de sécurité de l'organisation visée, puisqu'aucun paquet réseau n'atteint son périmètre. Elle s'oppose à la reconnaissance active, qui implique un scan ou une requête directe vers les systèmes cibles et génère donc des traces potentiellement détectables. Une méthodologie de test d'intrusion rigoureuse commence systématiquement par une phase de reconnaissance passive exhaustive avant d'engager toute action active, afin de maximiser l'information disponible tout en minimisant le risque d'alerte prématurée. Pour les équipes défensives, la reconnaissance passive étant par nature indétectable côté réseau, la seule contre-mesure efficace consiste à réduire en amont la quantité d'informations exploitables exposées publiquement : gestion rigoureuse de l'empreinte numérique, politique de classification avant publication de documents, et surveillance des fuites de données mentionnant l'organisation sur le dark web.