L'OSINT : comprendre ce qu'une organisation expose publiquement

Avant de toucher le moindre système, un testeur apprend à regarder. Combien d'informations une organisation laisse-t-elle traîner sur elle-même, sans le savoir ? C'est le domaine de l'OSINT, le renseignement d'origine sources ouvertes. Cette leçon en pose les principes, sans jamais viser une cible réelle.

Le cadre est posé et l'espace de travail prêt : le test peut commencer. La première phase technique s'appelle la reconnaissance. Son but est simple : construire une carte aussi complète que possible de la cible, pour ne pas avancer à l'aveugle. Un testeur qui saute cette étape perd du temps, rate des cibles intéressantes et, pire, risque de sortir du périmètre sans s'en rendre compte.

Passif ou actif : deux manières de reconnaître

On distingue deux grandes familles de reconnaissance, et la différence est capitale :

• La reconnaissance passive consiste à recueillir des informations sans jamais envoyer de trafic vers les systèmes de la cible : lecture de sources publiques, moteurs de recherche, registres, archives. La cible ne peut pas détecter votre démarche.
• La reconnaissance active consiste à interagir directement avec les systèmes de la cible : résolution DNS vers ses serveurs, scan de ports, requêtes sur ses services. Cette interaction laisse des traces dans ses journaux.

Cette distinction a une conséquence juridique et pratique : la reconnaissance active n'est permise que dans le périmètre autorisé, alors que la passive s'appuie sur des informations publiques (dans le respect de la loi, notamment sur les données personnelles). L'OSINT relève essentiellement de la première famille, que vous réaliserez toujours en premier.

Que peut-on apprendre d'une organisation ?

Imaginez l'équipe d'une petite entreprise fictive, Verdelune, qui ne se soucie pas de ce qu'elle publie. Voici le genre d'indices qu'un observateur patient peut réunir :

• L'organisation : taille, filiales, partenaires, implantations, organigramme public ;
• L'infrastructure : noms de domaine, hébergeurs, technologies visibles dans les pages (frameworks, systèmes de gestion de contenu), services de messagerie utilisés ;
• Les offres d'emploi : une annonce qui recherche un administrateur d'une technologie précise révèle ce que l'entreprise utilise ;
• Les personnes : noms, fonctions, formats d'adresses électroniques, présence sur des réseaux professionnels ;
• Les documents publics : fichiers déposés sur un site, dont les métadonnées peuvent révéler des noms d'utilisateurs, des versions de logiciels ou des chemins internes ;
• Les fuites passées : mentions d'incidents antérieurs, dépôts de code publics contenant par erreur des secrets ;
• Les certificats : les registres publics de certificats listent parfois des noms de serveurs oubliés.

Aucun de ces éléments n'est une faille en soi. Mais ensemble, ils dessinent une surface d'attaque, et chacun est une piste à explorer plus tard, uniquement si elle entre dans votre périmètre.

Les grandes familles de sources ouvertes

Une méthode plutôt qu'une liste de sites

Un site ou un outil peut disparaître demain ; la démarche, non. Voici la méthode que suivent les professionnels, en cinq temps :

1. Définir la question : que cherche-t-on à savoir ? (« Quels noms de domaine appartiennent au client ? », « quelles technologies sont visibles ? »)
2. Choisir des sources adaptées et noter pour chacune la date et la méthode de consultation ;
3. Collecter sans interagir avec les systèmes de la cible en phase passive ;
4. Recouper : une information isolée est une hypothèse, deux sources indépendantes la rendent crédible ;
5. Filtrer selon le périmètre : tout ce qui n'est pas dans l'autorisation est noté comme « hors périmètre, à signaler au client » et jamais testé.

Cette cinquième étape est la plus importante. L'OSINT révèle toujours des choses qui ne sont pas dans le périmètre : un sous-domaine d'un partenaire, un service hébergé chez un tiers, un compte personnel d'un employé. Un testeur sérieux les consigne, les remonte au client, et ne s'en approche pas.

Éthique et protection des personnes

La reconnaissance touche des personnes réelles : employés, dirigeants, prestataires. Quelques règles de bon sens s'appliquent, même avec des informations publiques :

• Collectez le strict nécessaire à la mission. Les informations privées, familiales ou sans lien avec l'entreprise n'ont rien à faire dans votre carnet.
• Ne cherchez pas à identifier des personnes en dehors de ce que le contrat prévoit.
• Ne tentez jamais de vous faire passer pour quelqu'un d'autre dans cette phase : l'ingénierie sociale est un autre type d'activité, soumis à un contrat spécifique.
• Stockez les informations collectées de façon sécurisée et supprimez-les à la fin de la mission.

La CNIL et le RGPD fixent le cadre applicable aux données personnelles ; la présence d'une information en ligne ne signifie pas que tout usage en est permis.

Du renseignement à l'hypothèse d'attaque

L'OSINT ne sert pas à « faire du renseignement pour le plaisir ». Il alimente la suite du test. Chaque information devient une question à vérifier : « ce nom de domaine héberge-t-il un portail d'administration ? », « cette technologie ancienne est-elle encore utilisée ? ». C'est le travail de la phase active, que nous aborderons dans les leçons suivantes, toujours dans le périmètre autorisé.

Le cadre ATT&CK de MITRE (attack.mitre.org) classe d'ailleurs ces activités dans une tactique appelée « reconnaissance », ce qui montre à quel point elle est considérée comme une phase à part entière du comportement d'un attaquant. Pour un défenseur, c'est une bonne nouvelle : en réduisant ce qu'il expose, il réduit directement ce que l'attaquant peut apprendre.

À vous de jouer : analyser votre propre empreinte

Pour vous entraîner sans cible réelle, appliquez la méthode à vous-même, avec votre accord. Dans votre carnet, dressez la liste de ce qu'un observateur patient pourrait apprendre de vous ou d'un projet personnel (blog, dépôt de code, association) en consultant uniquement des sources publiques : technologies visibles, noms, adresses de contact, anciens documents. Classez chaque information en trois catégories : « utile à un attaquant », « sans importance », « à retirer ou à protéger ». Puis, pour la mission Verdelune, rédigez les cinq questions de reconnaissance que vous poserez dans la suite du cours.

La leçon suivante entre dans la phase technique : comment les noms de domaine et les sous-domaines dessinent la carte des services.