Surface d'attaque externe
Ports, services et sous-domaines exposés sur Internet, y compris ceux que vous avez oubliés : un serveur de test, une ancienne application, un accès distant laissé ouvert.
Audit technique
L'état réel de votre infrastructure
La conformité décrit ce que vous devez protéger. L'audit vérifie si vous y parvenez. Nous regardons d'abord ce qu'un attaquant voit de l'extérieur — ports ouverts, failles applicatives, identifiants déjà fuités, configurations à risque — puis l'intérieur : annuaire, réseau, sauvegardes, postes et serveurs, Microsoft 365. Vous recevez un rapport priorisé, lisible par un dirigeant. Nous intervenons à Grenoble, en Isère, partout en France et en Suisse.
890 € HT : 1 domaine et jusqu'à 5 IP publiques
48 h pour recevoir le rapport
+25 ans d'expérience en infrastructure
Vue de l'extérieur
Quatre angles d'analyse, un seul rapport
Nous partons de l'extérieur, comme un attaquant opportuniste : sans accès, sans compte, sans information privilégiée. C'est la vue qui compte, puisque c'est la sienne.
Vulnérabilités web
Failles courantes de vos sites et applications, contrôlées selon le référentiel OWASP : injections, mauvaises configurations, gestion des sessions, en-têtes de sécurité.
Identifiants fuités
Données et mots de passe de votre entreprise déjà exposés dans des fuites publiques connues. C'est le point d'entrée le plus fréquent, et le plus silencieux.
Certificats et configurations
Certificats expirés, en-têtes de sécurité manquants, et usurpation possible de vos adresses e-mail : SPF, DKIM, DMARC, domaines imitant le vôtre.
Vue de l'intérieur
Là où une attaque se propage
Une intrusion ne s'arrête pas au premier poste atteint. Ce qui transforme un incident en sinistre, c'est l'intérieur : un annuaire trop permissif, un réseau plat, une sauvegarde jamais restaurée. C'est le terrain que nous administrons depuis plus de vingt-cinq ans, et nous l'auditons avec les yeux de celui qui l'a exploité.
Annuaire Active Directory et Entra ID
Comptes à privilèges, délégations oubliées, mots de passe qui n'expirent jamais, comptes de service partagés, machines hors domaine. L'annuaire est la cible de toute attaque un peu sérieuse.
Segmentation du réseau
Un réseau plat laisse circuler l'attaquant d'un poste de secrétariat jusqu'aux serveurs de production. Nous vérifions le cloisonnement réel : VLAN, filtrage entre zones, machines industrielles, Wi-Fi invité.
Sauvegardes et restauration
Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde. Nous contrôlons l'étanchéité des copies face à un rançongiciel, la règle des trois exemplaires, et le temps réel de remise en service.
Postes, serveurs et mises à jour
Systèmes en fin de support, correctifs en retard, droits d'administrateur local distribués à tous, antivirus désactivé sur la machine qui compte. Le durcissement se mesure, il ne se suppose pas.
Microsoft 365
Audit en lecture seule de votre location : authentification à plusieurs facteurs réellement appliquée, règles de transfert automatique de messages, partages de fichiers ouverts à tous, applications autorisées par les utilisateurs eux-mêmes.
Accès distants et journalisation
VPN, bureau à distance, accès des prestataires, télémaintenance : qui entre, depuis où, avec quel second facteur. Et surtout : en gardez-vous une trace exploitable après coup ?
Les constats récurrents
Ce que nous trouvons presque à chaque fois
Un audit ne révèle pas souvent une faille exotique. Il révèle six ou sept choses que l'entreprise savait à moitié, qui n'appartenaient à personne, et dont l'enchaînement suffit à un attaquant. Les voici, par ordre de fréquence.
Un service exposé que personne n'avait en tête
Une interface d'administration restée ouverte après une migration, un serveur de recette joignable depuis Internet, une caméra ou un automate publiés par une règle de pare-feu posée « provisoirement » il y a quatre ans.
Des comptes à privilèges partagés
Un compte administrateur dont le mot de passe circule entre trois personnes et le prestataire, sans second facteur et sans trace de qui l'utilise. C'est le point qui transforme une intrusion banale en prise de contrôle complète.
Des sauvegardes jamais restaurées
Le travail de sauvegarde tourne et le rapport est vert. Mais personne n'a tenté de restaurer depuis dix-huit mois, et les copies sont accessibles depuis le même annuaire que les serveurs qu'elles protègent — donc chiffrables en même temps.
Des mots de passe déjà publics
Des identifiants professionnels présents dans des fuites connues, souvent réutilisés sur un service interne. Le plus gênant n'est pas la fuite elle-même : c'est qu'elle date parfois de plusieurs années sans que personne ait été prévenu.
Une messagerie usurpable
SPF incomplet, DKIM absent, DMARC en surveillance seule : n'importe qui peut écrire au nom de votre direction. C'est le socle de la fraude au virement, et c'est la correction la moins chère de tout le rapport.
Des accès prestataires permanents
Des comptes ouverts pour une intervention et jamais refermés, parfois d'un fournisseur avec qui la relation s'est arrêtée. Leur sécurité devient la vôtre, et vous n'avez aucun moyen de la vérifier.
Aucun de ces constats ne demande un budget. Ils demandent qu'on les ait vus, qu'on les ait classés, et que quelqu'un suive leur correction. C'est précisément ce que produit l'audit : non pas une liste de failles, mais une liste de décisions à prendre, avec l'ordre dans lequel les prendre.
Les formules
Trois niveaux, selon ce que vous cherchez à savoir
On ne commence pas toujours par le plus complet. Le choix dépend de la question que vous vous posez : être rassuré sur ce qui est visible, savoir ce que vaut l'ensemble, ou ne plus être surpris entre deux audits.
Audit d'exposition externe
Les quatre angles vus de l'extérieur, sur un nom de domaine et jusqu'à cinq adresses IP publiques. Aucun accès à fournir, aucune installation, rapport sous 48 heures. C'est le point d'entrée le plus fréquent, et il se décide sans réunion.
Audit d'infrastructure complet
L'exposition externe, plus l'intérieur : annuaire, segmentation, sauvegardes, postes et serveurs, Microsoft 365, accès distants et journalisation. Une à deux semaines selon la taille du parc, restitution orale et plan d'action chiffré.
Audit en continu
La surveillance de votre exposition entre deux audits : nouveau service publié, certificat qui expire, fuite d'identifiants récente. Vous êtes prévenu quand quelque chose change, pas une fois par an.
Le test d'intrusion est une démarche distincte : il ne décrit pas l'exposition, il l'exploite. Il se chiffre à part, et se mène après la cartographie.
Déroulement
Quatre étapes, aucune surprise
L'audit d'exposition ne demande aucune installation et ne perturbe rien. La partie interne se fait en lecture seule, sur des accès que vous ouvrez et refermez.
-
Cadrage
Un échange d'une heure pour délimiter le périmètre par écrit : domaines, adresses IP, sites, nombre de serveurs et de postes, ce qui est hors sujet. Le devis sort de là, pas d'un catalogue.
-
Collecte
La vue externe se fait sans rien vous demander. Pour l'interne, vous fournissez un compte en lecture seule et, le cas échéant, un accès temporaire pour la cartographie réseau.
-
Analyse
Chaque constat est vérifié à la main avant d'entrer dans le rapport. Nous ne livrons pas une sortie d'outil : les faux positifs sont écartés, les vrais sont notés selon leur criticité réelle chez vous.
-
Restitution
Le rapport arrive sous 48 heures pour l'audit d'exposition. Nous le présentons de vive voix, et nous repartons avec vous d'un plan d'action classé par effet et par effort.
Après l'audit
Un état des lieux ne reste pas vrai longtemps
La sécurité n'est pas un état permanent. Entre deux audits, votre exposition change sans que personne ne l'ait décidé.
Audit en continu
Un suivi mensuel à 290 € HT détecte ce qui apparaît entre deux audits : nouveau service exposé, certificat expiré, fuite récente, port ouvert par erreur.
Passer au test d'intrusion
L'audit dit ce qui est exposé ; le test d'intrusion dit jusqu'où quelqu'un peut aller. L'ordre compte : on ne teste sérieusement qu'après avoir cartographié.
Questions fréquentes
Ce qu'on nous demande le plus
Combien coûte un audit d'infrastructure ?
L'audit d'exposition externe est à 890 € HT pour un nom de domaine et jusqu'à cinq adresses IP publiques ; au-delà, le prix suit le périmètre. L'audit en continu est à 290 € HT par mois. La partie interne dépend du nombre de serveurs, de sites et de la présence d'un annuaire : nous chiffrons après le cadrage, sur un périmètre écrit. Nous ne facturons jamais à la vulnérabilité trouvée, ce qui serait un mauvais alignement d'intérêts.
L'audit risque-t-il de casser quelque chose ?
Non. L'audit d'exposition est non destructif et ne demande aucune installation : il observe ce qui est visible depuis Internet. L'audit interne et l'audit Microsoft 365 se font en lecture seule. Seul le test d'intrusion comporte une phase d'exploitation, et elle est menée dans un périmètre et des horaires convenus par écrit avec vous.
Quels accès devons-nous fournir ?
Rien du tout pour la vue externe : elle n'utilise que des informations publiques. Pour la partie interne, un compte en lecture seule sur l'annuaire et sur votre location Microsoft 365 suffit, plus un poste du réseau pour la cartographie. Ces accès sont nominatifs, limités dans le temps, et vous les refermez à la fin de l'audit.
Combien de temps dure un audit d'infrastructure ?
Comptez 48 heures pour recevoir le rapport d'exposition externe après le lancement. Avec la partie interne, le délai usuel est d'une à deux semaines selon la taille du parc, dont une demi-journée à une journée de votre côté pour l'ouverture des accès et la restitution.
Intervenez-vous en dehors de Grenoble ?
Oui. Nous sommes établis à Grenoble et nous déplaçons en Isère et en Auvergne-Rhône-Alpes pour les restitutions et les formations. L'audit lui-même s'effectue à distance, ce qui nous permet d'intervenir partout en France, ainsi qu'en Suisse.
À quelle fréquence faut-il refaire un audit ?
Une fois par an au minimum, et après tout changement notable : nouveau site, nouvelle application, migration, ouverture d'un accès distant. Entre deux audits, le suivi en continu détecte ce qui apparaît sans que vous l'ayez décidé : un service exposé par erreur, un certificat expiré, une fuite récente.
Peut-on ne faire que la partie externe ?
Oui, et c'est le cas le plus fréquent pour un premier audit. L'audit d'exposition se suffit à lui-même : il ne demande aucun accès, ne perturbe rien, et répond déjà à la question « qu'est-ce qu'un inconnu voit de nous ? ». La partie interne se décide ensuite, en connaissance de cause, et son périmètre est souvent plus étroit que ce qu'on imaginait au départ.
Que se passe-t-il si vous découvrez une compromission en cours ?
Nous vous appelons immédiatement, avant de poursuivre, et nous n'en parlons à personne d'autre. Il arrive qu'un audit mette au jour des traces actives : un accès distant utilisé à des heures improbables, un compte créé par personne, des identifiants fuités manifestement déjà employés. Nous figeons alors notre travail pour ne pas détruire de preuves, nous vous aidons à qualifier la situation et à décider des mesures de confinement, et nous reprenons l'audit une fois la situation maîtrisée. La réponse à incident proprement dite relève d'une équipe spécialisée ; nous vous orientons si vous n'en avez pas.
Que faisons-nous du rapport une fois reçu ?
Le rapport est classé par criticité et par effort, pour que les premières corrections puissent partir le jour même : elles sont souvent gratuites, comme refermer un port ou compléter un enregistrement DNS. Pour le reste, nous présentons de vive voix et nous repartons avec un plan d'action daté. Si personne chez vous n'a le temps de le tenir dans la durée, c'est exactement le rôle d'un RSSI externalisé ; sinon, l'audit en continu décrit plus haut suffit à vérifier que l'exposition ne se redégrade pas.
Savoir ce que vaut votre infrastructure
Un premier audit d'exposition suffit à faire le point. Rapport sous 48 heures.