01Points clés à retenir
- 01
Le temps d'exposition est le nombre total d'heures pendant lesquelles un système reste accessible depuis un réseau susceptible d'héberger un attaquant. C'est l'une des rares variables du cyber-risque que l'on peut réellement mesurer et maîtriser.
- 02
De nombreux actifs « toujours actifs » n'ont pas besoin de l'être. Les dépôts de sauvegarde, les interfaces ILO et iDRAC, les caméras IP, les VPN de maintenance des fournisseurs : tous ont des fenêtres d'usage légitimes bien plus courtes qu'un fonctionnement 24 h/24 et 7 j/7.
- 03
Réduire le temps d'exposition réduit le risque opportuniste et lié au scan dans à peu près la même proportion. Cela couvre la majorité des compromissions.
- 04
La déconnexion imposée par le matériel fonctionne, que votre pile de détection soit parfaitement configurée ou non.
02Pourquoi le « toujours en ligne » est devenu la norme par défaut
L'informatique d'entreprise a passé deux décennies à traiter la connectivité permanente comme une norme par défaut. Serveurs, baies de stockage, caméras, lecteurs de badges, dépôts de sauvegarde. Tout finit sur le réseau, toute la journée, tous les jours. Le compromis entre connectivité et exposition entre rarement dans la conversation.
Le calcul ne plaide pas en faveur de cette approche. Chaque heure supplémentaire où un système reste accessible depuis un réseau susceptible d'héberger un attaquant est une heure d'exposition de plus. Et comme la plupart des attaques d'aujourd'hui sont automatisées, ces heures s'accumulent d'une manière mesurable.
Le temps d'exposition, ce sont les conditions qui permettent à la compromission de se produire, et non ce qui arrive ensuite.
03Ce que signifie réellement le temps d'exposition
Le temps d'exposition est la durée totale pendant laquelle un système, un service, un port ou une interface d'administration reste accessible depuis un réseau où un attaquant pourrait se trouver. On le mesure par actif, généralement en heures par semaine ou en pourcentage de disponibilité.
Trois choses qu'il n'est pas :
- Fenêtre d'exposition
- l'intervalle entre la divulgation publique d'une vulnérabilité et l'application d'un correctif.
- Temps de présence (dwell time)
- la durée pendant laquelle un attaquant reste à l'intérieur avant que vous ne le remarquiez.
- MTTD et MTTR
- des métriques de réponse. Elles décrivent ce qui se passe après qu'un incident est survenu.
Ces trois notions décrivent ce qui se passe après une compromission. Le temps d'exposition décrit les conditions qui permettent à la compromission de se produire en premier lieu.
04Comment le temps d'exposition démultiplie le risque
Réduisez le cyber-risque à ses variables et vous obtenez quelque chose comme ceci :
La surface d'attaque et la vulnérabilité concentrent la plupart de l'attention. Fermer des ports, retirer des services, appliquer des correctifs : ce sont des disciplines matures, soutenues par des cadres méthodologiques et des piles logicielles de fournisseurs. Le temps, lui, reçoit très peu d'attention. C'est pourtant la variable la plus facile à modifier.
La plupart des attaques contre des systèmes accessibles de l'extérieur ne vous visent pas spécifiquement. Elles proviennent d'infrastructures de scan qui balaient l'ensemble de l'espace IPv4, en permanence. Les pots de miel du SANS Internet Storm Center observent les premières tentatives de force brute contre des services SSH ou RDP exposés dans les cinq à dix minutes suivant leur mise en ligne.
Pour ce type d'activité opportuniste, la probabilité d'être scanné au cours d'une heure donnée est à peu près constante. Un système en ligne 168 heures par semaine absorbe 168 heures de scan. Le même système en ligne 8 heures par semaine, uniquement pendant une tâche de sauvegarde, en absorbe 8. La réduction est linéaire.
05Trois façons dont les attaquants profitent de votre disponibilité
Scan opportuniste et exploitation de masse
Lorsqu'une vulnérabilité grave frappe un produit largement déployé, la communauté du scan réoutille en quelques heures. Log4Shell est passé de la divulgation à l'exploitation de masse le jour même. MOVEit Transfer a compromis des centaines d'organisations en quelques jours. Les CVE des équipements Fortinet, Ivanti et Citrix ont, plus d'une fois, fait l'objet d'une exploitation étendue avant que les défenseurs n'aient pu terminer les correctifs. Ce qui séparait les victimes des autres tenait généralement à une seule chose : le fait que la machine vulnérable soit accessible depuis Internet pendant la fenêtre de 24 à 72 heures entre la divulgation et le correctif.
Déplacement latéral après le point d'ancrage initial
Une fois qu'un attaquant a un point d'ancrage, le déplacement latéral dépend de la capacité de ce point d'ancrage à atteindre la cible. Les dépôts de sauvegarde, les contrôleurs de domaine et les interfaces d'administration sont des cibles de deuxième étape privilégiées : presque toujours accessibles depuis des postes de travail compromis. Un dépôt de sauvegarde accessible 24 heures sur 24 donne à l'attaquant 24 heures sur 24 pour le détruire. Un dépôt accessible uniquement pendant une fenêtre nocturne de 4 heures l'oblige soit à programmer l'opération avec précision, soit à attendre.
Commande et contrôle persistants
La plupart des outils de post-exploitation ont besoin d'un canal sortant vers l'attaquant. Les balises C2 fonctionnent selon un rythme périodique, avec des intervalles de quelques minutes ou heures entre les rappels, et attendent une connectivité sortante continue. Une déconnexion sortante programmée rompt ces sessions, même lorsque les fenêtres sont courtes, et le rétablissement tend à paraître plus anormal qu'un balisage en régime permanent. L'attaquant doit consacrer davantage d'efforts au maintien de sa persistance.
06Pourquoi les défenses traditionnelles ne réduisent pas le temps d'exposition
La plupart des contrôles de sécurité réduisent la surface d'attaque ou améliorent la détection. Peu d'entre eux touchent au temps d'exposition lui-même.
- Pare-feu
- filtrent le trafic. Ils ne déconnectent rien.
- WAF
- protègent des applications spécifiques. Ils n'ont rien à dire sur le plan d'administration.
- EDR / XDR
- sont des outils de détection. Ils ont besoin que l'attaque commence avant de pouvoir faire leur travail.
- Zero trust
- améliore les décisions d'accès fondées sur l'identité. L'actif reste accessible au niveau de la couche réseau.
- Segmentation
- limite la distance qu'un attaquant peut parcourir une fois à l'intérieur. Les actifs segmentés restent accessibles depuis leurs propres réseaux autorisés.
Tous ces éléments sont utiles. Beaucoup sont nécessaires. Aucun ne touche à la variable temps.
07Les arguments en faveur d'une isolation temporelle imposée par le matériel
Déconnecter physiquement un actif lorsque personne ne l'utilise relève d'une catégorie différente. Vous n'atténuez pas l'accessibilité. Vous l'éliminez pour toute la durée de la déconnexion.
Trois éléments rendent la déconnexion imposée par le matériel différente :
- Aucune surface de mauvaise configuration.
- Une coupure physique ne peut être contournée par une règle de pare-feu erronée ou une erreur de routage.
- Rien à exploiter sur le réseau.
- Si le mécanisme de commutation est piloté hors bande, via un canal cellulaire distinct, il n'existe aucune voie en bande qu'un attaquant puisse utiliser pour influer sur l'état de déconnexion.
- Auditable en termes physiques.
- Chaque connexion et déconnexion est un événement discret que vous pouvez journaliser, horodater et examiner.
C'est le principe de fonctionnement du dispositif AIRGAPNET d'AirgapNet : un commutateur réseau breveté piloté par un canal GSM indépendant, prenant en charge la déconnexion manuelle, programmée et déclenchée par événement.
Le câble est ouvert ou fermé. Il n'y a rien à mal configurer.
08Là où la réduction du temps d'exposition porte ses fruits
Là où la réduction du temps d'exposition porte ses fruits
Touchez une colonne pour trier. Les systèmes exposés au public sont volontairement hors du périmètre.
| Classe d'actif | Temps réellement nécessaire en ligne | Exposition typique aujourd'hui | Réduction possible |
|---|---|---|---|
| Référentiel de sauvegarde | 2–6 h/jour (fenêtre de sauvegarde) | 24 h/jour | 88% |
| ILO / iDRAC / BMC | < 2 h/mois de maintenance | 24/7 | 99% |
| Télémaintenance fournisseur | Interventions de service planifiées | VPN toujours actif | 99% |
| Caméras IP (poste de travail) | Heures ouvrées uniquement | 24/7 | 65% |
| Automatisation des bâtiments / IoT | Heures ouvrées uniquement | 24/7 | 65% |
| Environnements de développement et de test | Heures ouvrées uniquement | 24/7 | 65% |
09Mettre en pratique le « en ligne uniquement quand c'est nécessaire »
Un programme pratique de réduction du temps d'exposition comporte trois étapes, et elles ne sont pas compliquées.
-
Inventorier et classifier.
Répertoriez chaque actif et demandez-vous quel est son besoin opérationnel réel de connectivité. Beaucoup de choses sont toujours actives par défaut, non par conception. Ce choix par défaut est rarement réexaminé.
-
Choisir un mode de fonctionnement.
Pour chaque candidat, décidez si la déconnexion doit être manuelle (déclenchée par un administrateur), programmée (fenêtres horaires de type cron) ou déclenchée par événement (par exemple, déconnexion après que la tâche de sauvegarde a signalé sa fin).
-
Piloter le contrôle hors bande.
Le canal qui pilote le commutateur ne doit pas partager le sort du plan de données de l'actif. Un canal de commande cellulaire signifie qu'une compromission du réseau de données ne donne à l'attaquant aucune emprise sur l'état de déconnexion.
Le matériel AirgapNet fait les trois d'emblée. Les événements de connexion et de déconnexion sont journalisés, ce qui vous fournit la piste d'audit que les régulateurs exigent de plus en plus dans le cadre de NIS2, DORA et ISO 27001:2022.
10Trois objections courantes
« Nous avons besoin d'une surveillance 24 h/24 et 7 j/7 sur tout. »
Pour les systèmes en production, oui. Pour les dépôts de sauvegarde et les interfaces d'administration, non. Un dépôt de sauvegarde n'a pas besoin d'être surveillé tant qu'il est hors ligne : il est hors ligne par conception. De toute façon, l'essentiel de la valeur de la surveillance provient des heures actives, qui sont précisément les heures où l'actif est connecté.
« L'automatisation va casser. »
La plupart des plateformes modernes de sauvegarde, de surveillance et d'administration gèrent nativement la connectivité programmée. Veeam, Acronis, Veritas, Synology et les autres attendent ce type de fonctionnement. Les outils IPMI et BMC ont toujours supposé une accessibilité intermittente.
« Ce n'est pas un vrai air gap s'il se reconnecte. »
Exact. Ce n'est pas un air gap traditionnel. C'est une fenêtre d'exposition contrôlée, une primitive de sécurité différente, qui répond aux menaces qui provoquent réellement la plupart des compromissions : scan opportuniste, ciblage des sauvegardes par les rançongiciels, compromission de la chaîne d'approvisionnement des fournisseurs. Pour une fraction du coût d'une isolation permanente.
11Réflexion finale
Le cyber-risque se ramène à trois variables mesurables : surface d'attaque, vulnérabilité et temps. L'industrie a bâti des disciplines matures autour des deux premières. La troisième reçoit très peu d'attention, ce qui est étrange, car c'est celle que l'on peut modifier le plus facilement.
La déconnexion temporelle imposée par le matériel réduit le temps d'exposition des actifs qui n'ont pas besoin d'être accessibles en permanence. AIRGAPNET fonctionne aux côtés de votre pile de sécurité existante, et non à sa place. Il fonctionne sans nécessiter une configuration parfaite ni une détection parfaite.
Prêt à réduire votre temps d'exposition ?
AIRGAPNET : déployez-le en une après-midi, auditez-le en termes physiques.
Commutateur réseau breveté, piloté par GSM. Déconnectez physiquement n'importe quel actif Ethernet selon un calendrier ou à la demande. Fonctionne aux côtés de votre pare-feu et de votre pile de sauvegarde.