Analyse réseau & web — référentiel CISA KEV
| Date d'audit | 09/10/2026 16:02:39 |
|---|---|
| Cible analysée | 192.168.1.0/24 |
| Organisation | Entreprise Exemple SARL |
| Formule | ● Bronze Scan Réseau & Web Standard (Top 1000 ports) |
| Point de vue de l'analyse | Réseau interne (LAN) |
Cette analyse évalue l'exposition entre les appareils de votre réseau local. Un service détecté ici n'est pas directement accessible depuis Internet, sauf si votre box/routeur effectue une redirection de port (NAT).
Cependant, si un équipement de votre réseau venait à être compromis (par exemple via un e-mail de phishing ou un logiciel malveillant), un attaquant utiliserait ces ouvertures pour s'infiltrer plus en profondeur. Corriger ces vulnérabilités permet de verrouiller votre réseau de l'intérieur et de bloquer toute tentative d'escalade.
Niveau de risque global
MAÎTRISÉ
Aucune vulnérabilité confirmée. Quelques réglages d'hygiène sont à reprendre — voir le plan d'action.
Constat général
La surface de sécurité interne présente des services accessibles en local, mais aucune faille exploitable n’a été prouvée sur le périmètre testé.
Lecture de l'indicateur
Indicateur de risque global : VERT (MAÎTRISÉ). Ce score reflète l’absence de vulnérabilité confirmée par sonde active. Les ports ouverts relèvent de configurations courantes en réseau local (services web, FTP, Telnet, etc.) et ne constituent pas, en l’état, une exposition critique tant qu’ils ne sont pas accessibles depuis Internet. Aucune exploitation n’a été démontrée.
En clair : aucune vulnérabilité confirmée sur votre réseau. Quelques réglages d'hygiène restent à reprendre, sans urgence — le plan d'action ci-dessous les liste. Ce scan vient de l'intérieur du réseau : il ne dit rien de ce qui est visible depuis Internet.
Vulnérabilités confirmées
Bravo — aucune vulnérabilité confirméeAucune vulnérabilité confirmée par vérification active sur le périmètre analysé.
Mesures d'hygiène
Des échanges ou des protocoles obsolètes sont encore utilisés sur le réseau.
Risque d'espionnage / interception si le protocole est utilisé sur un réseau non maîtrisé : lecture des échanges sensibles par un tiers.
À corriger rapidementUn partage de fichiers (poste Windows, box, NAS) est accessible sur le réseau. Le scan n'y a observé ni le protocole obsolète SMBv1 ni d'accès invité : c'est un point de vérification, pas une faille.
Risque de propagation interne de rançongiciel si le partage est mal protégé : un poste compromis utiliserait les partages accessibles pour chiffrer les fichiers de proche en proche.
À planifierPour information : 4 objets connectés (caméra IP ou enregistreur vidéo) détectés — 192.168.1.20, 192.168.1.21, 192.168.1.100, 192.168.1.101. Point de vigilance, pas une correction : voir « Objets connectés détectés » dans l'annexe technique.
Par où commencer ? D'abord les mesures ci-dessous, dans l'ordre. Le détail technique de l'annexe se transmet tel quel à votre informaticien ou à votre prestataire.
En résumé — 2 mesures à traiter
D'abord deux synthèses transversales — les vulnérabilités confirmées, puis les points d'hygiène réseau regroupés — puis une fiche par équipement : son identité, ses ports ouverts, et l'analyse des risques associés. Chaque risque se déplie sur sa démarche de remédiation — à suivre soi-même ou à transmettre à un prestataire.
Vulnérabilités confirmées
Bravo — aucune vulnérabilité confirméeAucune vulnérabilité confirmée par vérification active sur le périmètre analysé.
Points d'hygiène réseau
Réglages et protocoles à reprendre : ce sont des faits observés (un service répond, un protocole obsolète est joignable), pas des failles prouvées. Un même constat vu sur plusieurs équipements est regroupé sur une seule ligne.
CWE-319 — Transmission d'informations sensibles en clair · Conformité : Règle 22 (Chiffrement des flux) & Règle 11 (Protocoles obsolètes)
Équipements concernés : 192.168.1.100, 192.168.1.101 — 2 équipements
Nature : Le service Telnet fait transiter les identifiants de connexion et les commandes en clair sur le réseau, sans aucun chiffrement.
Vecteur d'attaque : Toute personne sur le même réseau (ou capable d'intercepter le trafic) lit le mot de passe d'administration au moment de la connexion, puis prend le contrôle de l'équipement.
Remédiation : Désactiver Telnet et le remplacer par SSH (chiffré). Si l'équipement ne gère que Telnet, l'isoler sur un réseau séparé et n'y accéder que ponctuellement. (classification CWE)
Piste : Vérifier la configuration de l'équipement et fermer ce port s'il n'est pas nécessaire à l'activité.
CWE-284 — Exposition d'un service de partage de fichiers (SMB) · Conformité : Règle 11 (Protocoles obsolètes) & Règle 15 (Cloisonnement réseau)
Équipement concerné : 192.168.1.254
Nature : Le partage de fichiers SMB est accessible sur le réseau. S'il accepte le protocole SMBv1 (obsolète) ou des connexions anonymes, il devient un point d'entrée pour la propagation de rançongiciels.
Vecteur d'attaque : Un poste déjà compromis (via phishing ou logiciel malveillant) utilise ce partage pour se propager latéralement aux autres machines et chiffrer leurs données.
Remédiation : Désactiver SMBv1, exiger une authentification (pas d'accès invité), et ne pas exposer le port 445 vers Internet. (classification CWE)
Piste : tous les équipements concernés ne sont pas sous Windows — sur les autres (box, NAS, imprimante, routeur), la manœuvre se fait dans leur interface d'administration : désactiver le service ou le protocole obsolète, ou exiger une authentification.
CWE-1104 — Service web exposé — composant à maintenir à jour · Conformité : Règle 25 (Sécurisation des services web) & Règle 34 (Mises à jour)
Équipement concerné : 192.168.1.254
Nature : Un service web répond sur cet équipement. C'est normal pour un site, un portail ou une interface d'administration (box, NAS, caméra) — ce n'est pas une faille en soi.
Vecteur d'attaque : Le risque vient d'un logiciel non à jour ou d'une interface d'administration mal protégée ; un service web maintenu et correctement configuré ne pose pas de problème.
Remédiation : Vérifier que le serveur et l'application sont à jour, forcer l'accès en HTTPS, et protéger toute interface d'administration par un mot de passe fort (ou la restreindre au réseau interne). (classification CWE)
Piste : Vérifier la configuration de l'équipement et fermer ce port s'il n'est pas nécessaire à l'activité.
Objets connectés détectés — point de vigilance
Équipements reconnus comme caméra IP ou enregistreur vidéo (port de flux vidéo, serveur web embarqué connu) : 192.168.1.20, 192.168.1.21, 192.168.1.100, 192.168.1.101. Ce n'est pas une faille en soi — listé pour information. Ces objets sont souvent livrés avec un mot de passe d'usine et rarement mis à jour : ce sont les cibles favorites des réseaux de machines piratées (botnets).
À traiter : Telnet est ouvert sur 192.168.1.100, 192.168.1.101 — c'est, lui, une mesure d'hygiène réelle (voir « Points d'hygiène réseau » ci-dessus et le plan d'action).
Détail par équipement
Référence secondaire — pas une nouvelle liste à traiter : chaque correction listée ci-dessus (vulnérabilité ou hygiène) renvoie ici, fiche par fiche, pour retrouver sur quel équipement précis elle a été observée. Le plan d'action et les deux blocs ci-dessus couvrent déjà tout ce qu'il y a à corriger.
OS / Type non identifié Ports ouverts 8008, 8009, 8443, 9000
Aucun constat de sécurité pour cet équipement — seuls des services standards répondent.
Action : aucune vulnérabilité confirmée ; maintenir la veille.
OS / Type Linux/Unix Ports ouverts 80, 554, 8008, 8009, 8080, 8443, 9000
Analyse & risques
CWE-1104 — Service web exposé — composant à maintenir à jour · Conformité : Règle 25 (Sécurisation des services web) & Règle 34 (Mises à jour)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
Action : aucune vulnérabilité confirmée ; maintenir la veille.
OS / Type Linux/Unix Ports ouverts 23, 80, 554
Analyse & risques
CWE-319 — Transmission d'informations sensibles en clair · Conformité : Règle 22 (Chiffrement des flux) & Règle 11 (Protocoles obsolètes)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
CWE-1104 — Service web exposé — composant à maintenir à jour · Conformité : Règle 25 (Sécurisation des services web) & Règle 34 (Mises à jour)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
Action : aucune vulnérabilité confirmée ; maintenir la veille.
OS / Type Linux/Unix Ports ouverts 23, 80, 554
Analyse & risques
CWE-319 — Transmission d'informations sensibles en clair · Conformité : Règle 22 (Chiffrement des flux) & Règle 11 (Protocoles obsolètes)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
CWE-1104 — Service web exposé — composant à maintenir à jour · Conformité : Règle 25 (Sécurisation des services web) & Règle 34 (Mises à jour)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
Action : aucune vulnérabilité confirmée ; maintenir la veille.
OS / Type Linux/Unix · Freebox SA Ports ouverts 21, 53, 80, 443, 445, 554, 5000, 8090, 8765, 9091
Analyse & risques
CWE-284 — Contrôle d'accès impropre — service de fichiers · Conformité : Règle 11 (Sécurisation et durcissement de la configuration)
Constat : Service FTP actif (accès anonyme non confirmé)
Nature : Un service de transfert de fichiers (FTP, port 21) est actif. Aucun accès anonyme n'a été confirmé par le scan.
Vecteur d'attaque : FTP transmet identifiants et fichiers en clair : un appareil compromis sur le réseau peut les intercepter. Un accès anonyme laissé ouvert exposerait en plus les fichiers partagés.
Remédiation : Désactiver le service FTP s'il n'est pas utilisé ; sinon vérifier que l'accès anonyme ou invité est désactivé, et préférer un protocole chiffré (SFTP). (classification CWE)
CWE-284 — Exposition d'un service de partage de fichiers (SMB) · Conformité : Règle 11 (Protocoles obsolètes) & Règle 15 (Cloisonnement réseau)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
CWE-1104 — Service web exposé — composant à maintenir à jour · Conformité : Règle 25 (Sécurisation des services web) & Règle 34 (Mises à jour)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
Action : aucune vulnérabilité confirmée ; maintenir la veille.
OS / Type Linux/Unix Ports ouverts 80, 554, 8080
Analyse & risques
CWE-1104 — Service web exposé — composant à maintenir à jour · Conformité : Règle 25 (Sécurisation des services web) & Règle 34 (Mises à jour)
Détail : repris intégralement sous « Points d'hygiène réseau » en tête d'annexe (constat, nature, vecteur d'attaque, remédiation), avec la liste des équipements concernés.
Action : aucune vulnérabilité confirmée ; maintenir la veille.
À retenir
Il vous reste une décision simple. La suite dépend de vous — et on est là si vous voulez un coup de main.
Ce que vous devez décider
Aucun risque avéré sur le périmètre testé. Maintenir la veille et relancer un scan de contrôle régulièrement : un audit est un état des lieux à un instant T.
Besoin d'un accompagnement ?
Les menaces évoluent : au-delà de la correction ponctuelle, relancez un scan régulièrement : notre scan vérifie les failles connues et activement exploitées, les accès laissés sans mot de passe et les services web exposés, et sa base de vulnérabilités est mise à jour chaque semaine.