Lexique · Sécurité des données
Collecte active
Recueil d'informations qui interagit directement avec les systèmes de la cible : scan de ports, requêtes directes, tentatives de connexion. Elle peut être détectée par la cible et, sans autorisation, relever de l'accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal).
Ce que ça change pour une organisation
Le glossaire du NIST, qui reprend sa publication SP 800-115, définit un test de sécurité actif comme un test qui implique une interaction directe avec une cible, par exemple l’envoi de paquets. MITRE ATT&CK décrit de la même façon le balayage actif : l’adversaire sonde l’infrastructure de la victime par le trafic réseau, à la différence des autres formes de reconnaissance qui n’impliquent aucune interaction directe. Ses sous-techniques sont le balayage de blocs d’adresses IP, le balayage de vulnérabilités et le balayage par listes de mots. Ces échanges laissent des traces chez la cible, qui peut ainsi les détecter.
Sur le plan juridique, l’article 323-1 du Code pénal punit le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données : trois ans d’emprisonnement et 100 000 euros d’amende, portés à cinq ans et 150 000 euros lorsqu’il en résulte la suppression ou la modification de données ou une altération du fonctionnement du système, et à sept ans et 300 000 euros pour un système de données personnelles mis en œuvre par l’État. Une collecte active menée sans autorisation sur les systèmes d’un tiers peut donc, selon les circonstances, entrer dans le champ de ce texte. Le texte vise un accès frauduleux : pour tester les systèmes d’un prestataire ou d’un partenaire, il est prudent d’obtenir son accord écrit au préalable, alors que l’audit de ses propres systèmes ne pose pas la même question.
Exemple
Exemple générique : une équipe de sécurité veut vérifier la surface d’exposition d’un fournisseur et balaie les ports ouverts de son infrastructure sans l’en avoir informé. Le fournisseur voit passer le trafic dans ses journaux et peut le tenir pour une tentative d’intrusion, alors que la même vérification, menée avec son accord écrit, relève d’un test convenu.
À ne pas confondre avec
- La collecte passive : recueil sans interaction directe avec la cible, à partir de sources publiques ou de bases tierces.
- L’accès frauduleux à un STAD : infraction définie par l’article 323-1, dont la collecte active n’est qu’un moyen possible ; elle n’en relève que si elle constitue un accès ou un maintien frauduleux.
