Points clés
- Les zones sans visibilité sont les premières explorées par les attaquants lors d'une intrusion — elles offrent une liberté de mouvement non contrainte.
- L'absence de logs sur un segment réseau crée un angle mort complet pour la détection des incidents.
- Les flux de données non documentés entre systèmes sont des vecteurs de latéralisation invisibles.
- Réduire les zones sans visibilité est souvent plus impactant sur la posture sécuritaire que d'ajouter de nouveaux contrôles sur les zones déjà couvertes.
Les zones sans visibilité : un paradis pour les attaquants
Un attaquant qui a obtenu un accès initial cherche à se déplacer discrètement dans le réseau pour atteindre ses cibles — des données de valeur, des systèmes critiques, des credentials avec des privilèges étendus. Dans les zones où la surveillance est insuffisante ou absente, ce mouvement ne génère aucune alerte. Les attaquants ont appris à identifier et exploiter ces angles morts : les segments réseau non couverts par le SIEM, les systèmes qui n'envoient pas de logs, les protocoles non décodés par les outils de surveillance. La cartographie des zones sans visibilité est aussi importante que la cartographie des zones couvertes — elle révèle là où les attaquants peuvent agir librement.
Les angles morts de la collecte de logs
La qualité de la détection est directement proportionnelle à la couverture de la collecte de logs. Un segment réseau, un type de système ou un protocole non couvert par la collecte de logs est une zone aveugle dans le dispositif de détection. Ces angles morts sont fréquents : des systèmes hérités qui ne supportent pas les agents de collecte, des équipements IoT ou OT sans capacité de journalisation standard, des services cloud dont les logs ne sont pas intégrés au SIEM, des équipements réseau dont les logs ne sont collectés que partiellement. L'audit de la couverture de la collecte de logs — comparé à l'inventaire des actifs — révèle systématiquement des gaps non anticipés.
Les flux non documentés : vecteurs de latéralisation invisibles
Les flux de données entre systèmes qui ne sont pas documentés dans l'architecture officielle représentent des canaux de latéralisation potentiellement invisibles pour les outils de surveillance. Un flux de données créé par une intégration ad hoc entre deux systèmes, non documenté et non surveill, peut servir de chemin de mouvement latéral pour un attaquant qui a compromis l'un des deux systèmes. La cartographie des flux réels — via des outils d'analyse de trafic réseau ou de tracing applicatif — révèle régulièrement des connexions inter-systèmes que personne n'avait documentées et que les outils de surveillance ne surveillaient pas.
La priorité à la réduction des angles morts
Dans les organisations dont les ressources sont contraintes, investir dans la réduction des zones sans visibilité produit souvent plus d'impact sur la posture sécuritaire que d'ajouter de nouveaux contrôles dans les zones déjà bien couvertes. Une organisation qui dispose d'une excellente surveillance sur 80 % de ses actifs et d'une surveillance nulle sur les 20 % restants est vulnérable à toute attaque qui commence dans ces 20 %. Réduire ces zones sans visibilité — en étendant la collecte de logs, en améliorant la segmentation réseau et en cartographiant les flux non documentés — améliore la capacité de détection sur l'ensemble du périmètre.
Les outils de découverte continue pour maintenir la visibilité
La visibilité est un état qui se dégrade continuellement dans les environnements dynamiques. Des ressources nouvelles sont créées, des systèmes sont modifiés, des flux de données nouveaux apparaissent. Maintenir la visibilité requiert des outils de découverte continue — scans réseau réguliers, analyse passive du trafic, discovery agents dans les environnements cloud — qui identifient automatiquement les nouveaux actifs et les nouveaux flux. Ces outils alimentent l'inventaire en continu et signalent les actifs nouvellement découverts qui ne sont pas encore couverts par les programmes de surveillance et de sécurité.