Comment HD Moore détecte les menaces réseau en adoptant la vision d’un attaquant

Les zero-days et les exploits dopés à l’IA posent une réalité simple, tu finiras par courir après des failles plus vite que tes cycles de patch. Le webinar Beyond the Zero-Day: See Your Network Like an Attacker avec HD Moore part de ce constat pour déplacer le débat, moins sur la vulnérabilité isolée, plus sur la forme réelle de ton réseau, celle que l’attaquant observe et exploite.

Le créateur de Metasploit, aujourd’hui CEO de runZero, insiste sur un point souvent mal digéré en entreprise, la segmentation illusion. Sur le papier, des firewalls, des VLAN, des zones OT séparées. Dans la vraie vie, des ponts oubliés, des équipements multi-homed, des objets connectés fantômes. Le webinar promet une méthode pratique, découvrir ce qui manque, fermer les passerelles, visualiser les chemins d’attaque, puis prioriser ce qui réduit le trajet vers l’impact.

HD Moore cible l’illusion de segmentation dans les réseaux IT/OT

Le fil conducteur, c’est la dérive progressive de la segmentation réseau. Tu penses que les actifs critiques sont derrière, mais le réseau évolue, et les exceptions s’empilent. Dans les environnements hybrides IT/OT, ce phénomène s’accélère, car l’OT n’a pas été conçu pour des changements fréquents, alors que l’IT ajoute des outils, des accès distants, des intégrations. Résultat, des chemins latéraux apparaissent sans validation globale.

Le webinar met l’accent sur les coutures entre domaines, là où un attaquant aime s’insérer. Un protocole gateway OT qui relie deux segments, un serveur d’administration qui a deux cartes réseau, un équipement industriel supervisé depuis le SI, tout cela peut servir de pont. Dans la logique présentée, l’attaquant ne cherche pas seulement une faille rare, il cherche un enchaînement simple, un itinéraire qui contourne les contrôles.

Nuance importante, cette approche ne remplace pas la gestion des vulnérabilités, elle la remet à sa place. Patcher reste nécessaire, mais Moore martèle que patching cannot keep up face au rythme des découvertes et aux usages offensifs de l’IA. La critique implicite vise les programmes qui mesurent la sécurité au nombre de CVE traitées, sans vérifier si le réseau offre déjà une route courte vers les systèmes qui comptent.

runZero met l’accent sur l’asset discovery et le Shadow IT

Le point de départ opérationnel, c’est l’inventaire, mais pas celui qui dort dans une CMDB. Le webinar parle de asset discovery pour trouver ce qui manque, de l’IT non autorisé, du Shadow IT, du shadow IoT, et même des sub-assets cachés derrière des passerelles OT. L’idée, c’est de réduire l’écart entre ce que ton équipe croit posséder et ce qui répond sur le réseau.

Dans ce cadre, l’exemple typique est l’équipement oublié qui n’apparaît dans aucun outil, un capteur, une caméra, un boîtier d’accès, ou une appliance temporaire devenue permanente. Moore insiste sur l’effet cumulatif, un seul actif non géré peut devenir un point d’entrée, puis un relais. Et comme ces actifs ne sont pas gérés, ils échappent souvent aux politiques de mises à jour, d’authentification, ou de supervision.

runZero met aussi en avant un modèle accessible, une version gratuite annoncée comme adaptée aux environnements de moins de 100 assets. C’est utile pour tester la démarche, mais ça pose aussi une question de fond, la visibilité n’est qu’un début. Si l’organisation n’a pas de processus pour qualifier, assigner, corriger, l’inventaire se transforme en liste de dettes. Le webinar pousse donc vers une discipline, découverte, validation, puis action.

La cartographie des attack paths remplace l’inventaire statique

Le cur du message, c’est la visualisation des attack paths. Au lieu d’un tableau d’actifs, l’approche proposée vise une cartographie interactive des routes possibles, celles qu’un attaquant emprunterait pour atteindre les systèmes qui comptent. Cela change la priorisation, on ne corrige pas ce qui fait le plus de bruit, on corrige ce qui raccourcit le chemin vers l’impact.

Un exemple concret mis en avant est l’identification des appareils multi-homed et des actifs oubliés qui cassent la segmentation. Un poste d’admin connecté à deux zones, un serveur de collecte, une passerelle, ce sont des points de bascule. Le webinar insiste sur la capacité à close the bridges, fermer ces ponts, et à repérer les chemins qui contournent les firewalls ou les zones supposées isolées.

La promesse, c’est une défense plus proactive, stop attacks before they reach your EDR, selon l’angle exposure management mis en avant dans l’écosystème du sujet. Mais il faut garder une réserve, la cartographie ne te dira pas tout sur l’intention ni sur l’exploitabilité à l’instant T. Elle te donne une lecture structurelle, précieuse, mais qui doit être couplée à des contrôles concrets, durcissement, authentification, supervision, et gouvernance des changements.