Lexique · Sécurité des données
Collecte passive
Recueil d'informations sans interaction directe avec la cible : l'analyste consulte des sources publiques, des bases de données tierces ou des caches de moteurs de recherche, sans adresser de requête à ses systèmes. Elle s'oppose à la collecte active, qui interagit avec eux.
Ce que ça change pour une organisation
Le glossaire du NIST, qui reprend sa publication SP 800-115, définit un test de sécurité passif comme un test qui n’implique aucune interaction directe avec les cibles, par exemple l’envoi de paquets. Transposée à la recherche en sources ouvertes, cette logique donne la collecte passive : aucune requête n’est adressée aux systèmes de la cible, qui n’a en principe rien à repérer dans ses journaux. MITRE ATT&CK range dans sa tactique de reconnaissance la recherche dans des bases techniques librement accessibles (technique T1596), avec des sous-techniques qui portent sur le DNS et le DNS passif, le WHOIS, les certificats numériques, les réseaux de diffusion de contenu et les bases de résultats de scans.
Passive ne signifie pas pour autant libre de toute règle. La CNIL rappelle que la réutilisation d’une information disponible publiquement n’est pas interdite par principe, mais qu’elle doit respecter les principes de protection des données, notamment la loyauté de la collecte, la base légale, l’information des personnes et la finalité. Pour un audit défensif sur ses propres actifs, commencer par la collecte passive permet de mesurer ce qu’un tiers apprendrait sans jamais toucher à l’infrastructure.
Exemple
Exemple générique : un analyste cherche les certificats et les enregistrements DNS associés au domaine d’une PME en interrogeant des bases publiques de certificats et de données DNS, puis consulte un moteur qui a déjà recensé ses adresses IP exposées. Il obtient une première cartographie de l’infrastructure sans qu’aucun paquet n’ait été envoyé vers les serveurs de la PME.
À ne pas confondre avec
- La collecte active : recueil qui interagit directement avec les systèmes de la cible, par exemple par un scan de ports, et qui peut donc être détecté.
- L’OSINT : cadre général de la recherche en sources ouvertes, dans lequel on distingue la collecte passive et la collecte active.
