Scénario avancé : cartographier l'exposition d'une organisation¶

Niveau : avancé · Durée : 4 h · Compétences : domaines, certificats, documents, Shodan, fuites de données, rapport

Fiche de mission¶

Contexte

Le responsable de la sécurité d'une PME vous demande de déterminer ce qu'un attaquant pourrait apprendre sur l'entreprise uniquement à partir de sources publiques, avant une campagne de sensibilisation.

Question : quelle est la surface d'exposition publique de l'organisation (infrastructures, documents, informations sur les personnes), et quelles mesures permettraient de la réduire ?

Livrable : un rapport confidentiel avec un inventaire, une évaluation des risques et des recommandations priorisées.

Préalable obligatoire : le mandat écrit

Ce travail ne se fait jamais sans autorisation écrite de l'organisation, précisant le périmètre (domaines, plages d'adresses), la durée et la limitation à la collecte passive. Aucun scan, aucune tentative de connexion, aucun test d'hameçonnage ne fait partie de ce scénario. Pour vous entraîner, utilisez votre propre domaine.

Étape 1 - Définir le périmètre¶

Avec le commanditaire, listez :

Les noms de domaine de l'organisation
Les plages d'adresses IP connues
Les comptes officiels sur les réseaux sociaux
Ce qui est exclu (filiales, sous-traitants, vie privée des salariés)

Étape 2 - Infrastructures¶

Domaines : RDAP pour chaque domaine (dates d'expiration : un domaine oublié qui expire peut être racheté par un tiers).
Sous-domaines : crt.sh avec %.domaine, complété par theHarvester en sources passives.
Services exposés : Shodan avec hostname: et net: sur le périmètre.
Technologies : BuiltWith ou Wappalyzer sur le site principal.

Classez les découvertes : sous-domaines de test ou d'administration visibles, services sensibles exposés, logiciels obsolètes.

Étape 3 - Documents publics¶

Recherchez les documents indexés :

site:exemple.fr (filetype:pdf OR filetype:docx OR filetype:xlsx OR filetype:pptx)

Téléchargez un échantillon de documents publiés volontairement par l'organisation et analysez leurs métadonnées avec ExifTool :
```
exiftool -Author -Creator -Producer -LastModifiedBy -csv *.pdf *.docx
```
Relevez ce qui fuit : noms d'utilisateurs internes, versions de logiciels, chemins de serveurs.

Exercice 1 - Les métadonnées de 30 PDF révèlent des noms d'auteur au format « p.nom » et la version d'un logiciel de bureautique ancien. Quel est le risque ?

Le format « p.nom » révèle probablement la convention des identifiants internes (souvent aussi celle des adresses e-mail), ce qui facilite l'hameçonnage ciblé et les tentatives de connexion. La version ancienne du logiciel indique un parc potentiellement non mis à jour. Recommandation : nettoyer les métadonnées avant publication (procédure et outil systématiques) et vérifier la politique de mises à jour.

Étape 4 - Informations sur les personnes¶

Restez au niveau de l'organisation, avec une stricte minimisation :

Combien de salariés sont identifiables publiquement avec leur fonction (annuaire du site, réseaux professionnels) ? Notez des chiffres et des catégories, pas des listes nominatives.
Quel est le format des adresses e-mail (visible sur le site, dans les documents) ?
Les adresses de l'organisation apparaissent-elles dans des fuites ? Have I Been Pwned propose une recherche par domaine réservée au propriétaire vérifié du domaine : faites-la réaliser par l'organisation elle-même (voir Have I Been Pwned).

Minimisation

Le rapport ne doit pas devenir un fichier des salariés. Indiquez par exemple « 45 salariés identifiables avec leur fonction, dont 6 au service comptabilité » plutôt que leurs noms. Aucune recherche sur la vie privée des personnes.

Étape 5 - Évaluer les risques¶

Découverte	Ce qu'un attaquant pourrait en faire	Gravité	Priorité
Interface d'administration exposée	Tentatives de connexion	Élevée	1
Format des e-mails + organigramme public	Hameçonnage ciblé (fraude au président)	Élevée	1
Métadonnées des documents	Connaissance des identifiants et logiciels internes	Moyenne	2
Domaine secondaire expirant bientôt	Rachat et usurpation	Moyenne	2

Étape 6 - Rédiger le rapport¶

Utilisez le modèle de rapport et ajoutez une section Recommandations priorisées (fermer, retirer, nettoyer, sensibiliser). Le rapport est confidentiel : il décrit exactement ce qu'un attaquant chercherait. Chiffrez-le et limitez sa diffusion.

Grille d'auto-évaluation¶

Mandat écrit obtenu, périmètre et exclusions définis
Aucune action active (scan, connexion, test)
Les informations sur les personnes sont agrégées, pas nominatives
Chaque découverte a une gravité et une recommandation
Le rapport est chiffré et sa diffusion limitée