🛡️OSINT pour Responsables de la Sécurité (RSSI)
Un RSSI qui pratique l'OSINT voit son organisation comme un attaquant la voit : de l'extérieur, sans accès privilégié, à partir des seules informations publiques. Cette perspective révèle systématiquement des actifs que l'inventaire officiel ignore, des identifiants d'employés circulant dans des fuites, et des domaines usurpant la marque. La reconnaissance externe ne demande aucun outil payant pour démarrer : les plateformes d'indexation passive comme Shodan ou Censys donnent déjà une vision que beaucoup d'organisations n'ont pas d'elles-mêmes. L'enjeu n'est pas la collecte, qui est simple, mais la mise en place d'une surveillance régulière et d'un circuit de remédiation.
Cas d'usage typiques
- 1Inventaire de la surface d'attaque réelle, y compris les actifs oubliés, les environnements de test exposés et les sous-domaines créés hors processus
- 2Détection des identifiants d'employés présents dans les fuites de données et les journaux de logiciels voleurs d'identifiants
- 3Surveillance des domaines proches du vôtre, enregistrés pour l'hameçonnage ou l'usurpation de marque
- 4Évaluation de la posture externe des sous-traitants et partenaires, sans avoir besoin de leur coopération
- 5Vérification de l'exposition des dirigeants, cible privilégiée des attaques par ingénierie sociale
- 6Contrôle de ce que révèlent les certificats TLS, souvent riches en noms d'hôtes internes
Outils recommandés
Shodan
Scanner les actifs exposés de votre organisation
Censys
Surveillance continue des certificats et sous-domaines
VirusTotal
Vérifier la réputation des domaines et IPs de l'entreprise
Any.Run
Analyser les pièces jointes malveillantes en sandbox
FOFA
Découvrir des actifs oubliés ou non déclarés
WhatsMyName
Détecter l'usurpation du nom de marque sur les réseaux sociaux
Maigret
Vérifier la présence de cadres dirigeants sur des plateformes sensibles
Workflow recommandé en 4 étapes
Cartographier ce qui est visible de l'extérieur
Recensez domaines, sous-domaines, adresses IP et services exposés. Les journaux de Certificate Transparency sont la source la plus productive : ils révèlent des noms d'hôtes jamais publiés ailleurs, y compris des environnements de préproduction. Comparez ensuite ce relevé à votre inventaire officiel : l'écart est le vrai résultat.
Mesurer l'exposition humaine
Contrôlez les adresses professionnelles dans les bases de fuites et les journaux d'infostealers. Une compromission par voleur d'identifiants est plus grave qu'une fuite ancienne : elle signifie qu'un poste a été infecté et que les sessions actives ont pu être détournées, ce qu'un simple changement de mot de passe ne corrige pas.
Surveiller l'usurpation de marque
Recherchez les domaines proches du vôtre par substitution de caractères et les comptes sociaux reprenant votre nom. La quasi-totalité des campagnes d'hameçonnage s'appuie sur un domaine créé depuis quelques jours : l'âge d'enregistrement est votre meilleur indicateur.
Étendre aux tiers
Appliquez la même reconnaissance à vos sous-traitants critiques. Vous n'avez besoin d'aucune autorisation pour observer ce qui est public, et la chaîne d'approvisionnement est devenue un vecteur d'attaque majeur.
Prioriser et remédier
Classez par exploitabilité réelle plutôt que par gravité théorique. Un service d'administration exposé sans authentification passe avant une version de bibliothèque obsolète sur un site vitrine. Documentez chaque constat avec sa date : une surface d'attaque est un objet mouvant.
Installer la répétition
Un audit ponctuel se périme en quelques semaines. Fixez une cadence, conservez les relevés successifs et suivez l'évolution de l'écart entre inventaire et réalité. C'est cette tendance, plus que le chiffre absolu, qui parle à une direction.
Questions fréquentes
L'OSINT sur sa propre organisation est-il légal ?
Oui, sans réserve, tant que vous vous limitez à consulter des sources publiques et que vous ne tentez aucun accès non autorisé. Observer ce que Shodan a déjà indexé est passif. Scanner activement vos propres actifs est également légal, mais relève du test d'intrusion et demande un cadre interne écrit.
Peut-on faire de la reconnaissance sur un sous-traitant sans son accord ?
Consulter des informations publiques le concernant est licite. En revanche, tout ce qui relève du scan actif ou de la tentative d'accès nécessite une autorisation écrite. La frontière est simple : lire un index public, oui ; solliciter directement leur infrastructure, non.
Faut-il un budget pour commencer ?
Non. Les offres gratuites de Shodan, Censys, crt.sh et Have I Been Pwned suffisent à établir un premier état des lieux et à identifier les écarts les plus criants. Les outils payants apportent surtout la surveillance continue et les alertes, utiles une fois le processus installé.
À quelle fréquence refaire l'exercice ?
Mensuellement pour la surface d'attaque, en continu pour les fuites d'identifiants si vous disposez d'une alerte. Un audit annuel ne sert à rien : les actifs apparaissent et disparaissent au rythme des projets.
Comment présenter les résultats à une direction ?
Par l'écart entre l'inventaire déclaré et la réalité observée, et par son évolution dans le temps. Un tableau de bord montrant que l'écart se réduit est plus convaincant qu'une liste de vulnérabilités que personne ne sait hiérarchiser.