De nombreuses entreprises pensent que leur infrastructure IT est sécurisée — jusqu’au premier scan. Nous partageons les constats les plus fréquents issus de la pratique et ce qu’ils signifient pour votre entreprise.
Le premier scan est toujours une révélation
Lorsqu’une PME analyse son infrastructure pour la première fois avec un scanner de vulnérabilités, les résultats sont presque toujours surprenants. Non pas parce que l’informatique est mal gérée — mais parce que les failles s’accumulent silencieusement au fil des mois et des années.
Fort de notre expérience avec les réseaux de PME suisses, voici ce que nous trouvons généralement — et pourquoi c’est important.
1. Des logiciels obsolètes partout
Le constat le plus fréquent : des logiciels qui ne sont pas à jour. Cela ne concerne pas uniquement les systèmes d’exploitation des serveurs, mais surtout :
- Les serveurs web (Apache, Nginx, IIS) avec des CVE connues
- Les CMS (WordPress, Joomla) avec des plugins obsolètes
- Les équipements réseau (switches, firewalls, points d’accès) avec des firmwares vieux de plusieurs années
- Les bibliothèques SSL/TLS qui supportent encore des protocoles abandonnés depuis longtemps
La plupart de ces vulnérabilités disposent d’exploits publiquement accessibles. Autrement dit : quiconque possède un minimum de connaissances techniques peut les exploiter.
2. Des services ouverts dont personne n’a connaissance
Pratiquement chaque réseau héberge des services actifs sans que personne ne le sache. Exemples typiques :
- Un service SNMP avec la community string « public » qui révèle les détails du réseau
- Un port de base de données accessible depuis Internet
- Un accès RDP oublié après une intervention de maintenance
- Un serveur web de test mis en place par un développeur il y a 2 ans
Chacun de ces services ouverts constitue un point d’entrée potentiel pour un attaquant. Ce que l’on ignore, on ne peut pas le protéger.
3. Problèmes de configuration SSL/TLS
Même les entreprises qui « chiffrent tout » présentent souvent des problèmes dans leur configuration SSL/TLS :
- Des certificats expirés ou sur le point d’expirer
- Le support de protocoles obsolètes (TLS 1.0, TLS 1.1)
- Des cipher suites faibles permettant des attaques comme BEAST ou POODLE
- Des certificats auto-signés sur des services exposés publiquement
Ces problèmes sont souvent simples à corriger — encore faut-il en avoir connaissance.
4. Mots de passe par défaut et authentification faible
Cela semble incroyable, mais dans une proportion étonnamment élevée de scans, nous découvrons :
- Des équipements avec des mots de passe par défaut (admin/admin, admin/password)
- Des services sans authentification (interfaces de gestion ouvertes)
- Des serveurs FTP avec accès anonyme
- Des applications web avec des comptes administrateur par défaut
Pour un attaquant, c’est la voie la plus simple pour pénétrer le réseau. Aucun exploit nécessaire — il suffit de se connecter.
5. Absence de segmentation
Si le scanner peut accéder à l’ensemble du réseau depuis un seul segment, un attaquant le peut aussi. Il n’existe souvent aucune séparation entre :
- Le réseau bureautique et le réseau serveurs
- Le Wi-Fi invités et le réseau interne
- Les systèmes de production et l’informatique de bureau
Conséquence : un seul poste de travail compromis peut servir de tremplin vers l’ensemble du réseau.
Que faire après le premier scan ?
Le premier scan révèle souvent des dizaines, voire des centaines de résultats. Cela peut sembler accablant. Voici la bonne approche :
- Ne pas paniquer. La plupart des entreprises obtiennent des résultats similaires.
- Prioriser selon le risque. Les vulnérabilités critiques sur les systèmes exposés publiquement en premier.
- Réaliser les quick wins. Changer les mots de passe par défaut, désactiver les services inutiles, appliquer les correctifs.
- Scanner régulièrement. Un scan unique montre l’état actuel. Seuls des scans réguliers permettent de mesurer si la situation s’améliore.
La plus grande erreur
La plus grande erreur n’est pas d’avoir des vulnérabilités. La plus grande erreur est de ne pas savoir lesquelles vous avez. Chaque jour sans visibilité est un jour d’avance pour un attaquant.
Un scan de vulnérabilités régulier est la mesure la plus simple et la plus rentable pour améliorer concrètement la sécurité de votre infrastructure IT. Pas parfait — mais infiniment mieux que de naviguer à l’aveugle.
