0
vulnérabilités cataloguées dans le registre public
Source : NVD. Indicatif, à remplacer avant lancement
Plateforme de gestion de la surface d'attaque
La plateforme de gestion de la surface d'attaque.
Voir ce qui est exposé. Corriger ce qui compte d'abord.
CloudKey surveille votre surface d'attaque en continu et indique à votre équipe ce qu'il faut corriger en premier. Chaque constat est appuyé par des preuves, pas par du bruit.
Flux KEV en direct, synchronisé il y a 2h
Le problème
Chaque mois, votre surface d'attaque grandit et des milliers de nouvelles vulnérabilités arrivent. Presque aucune ne met votre activité en danger. Trouver les rares qui le font, et les expositions qui vont avec, c'est le vrai travail.
0
présentent des preuves confirmées d'exploitation active
Source : CISA KEV. Indicatif, à remplacer avant lancement
0
bulletins de sécurité éditeurs publiés chaque année
Source : bulletins éditeurs. Indicatif, à remplacer avant lancement
Notre approche
Comment nous classons des milliers d'avis en ce qui doit être corrigé cette semaine.
Six règles derrière chaque livrable CloudKey. Faites défiler ou passez directement à l'une d'elles.
Services et produits
Sept capacités. Quatre couches de défense. Un seul partenaire.
La gestion de surface d'attaque sur quatre couches : voir ce qui est exposé à l'extérieur et à l'intérieur, vérifier ce qui tient par test d'intrusion et évaluation de posture cloud, contrôler les accès à privilèges, et bâtir le système de management ISO 27001 que les auditeurs reconnaissent, avec des preuves sur chaque constat.
Couche 01 . Visibilité
Savoir ce qui est exposé, à l'extérieur et à l'intérieur.
Le rapport DarkWeb donne la vue qu'un attaquant a de votre domaine. VulnMonitor croise chaque avis avec les équipements que vous exploitez réellement.
Rapport DarkWebVulnMonitor
Couche 02 . Vérification
Prouver que vos défenses tiennent.
L'audit de sécurité mesure la posture contre les CIS Benchmarks. Le pentest joue des scénarios adverses, périmètre externe et interne, encadré par un RoE, avec re-test inclus. Les services de sécurité cloud passent en revue la posture AWS, Azure et GCP face aux meilleures pratiques.
Audit sécuritéPentestSécurité cloud
Couche 03 . Contrôle
Verrouiller les accès privilégiés. Tracer chaque action.
PAM met les identifiants privilégiés en coffre, enregistre chaque session, et donne aux auditeurs une trace complète de qui a touché quel serveur et quand.
PAM
Couche 04 . Gouvernance et conformité
Bâtir le système de management que les auditeurs reconnaissent.
Le conseil ISO 27001 vous mène de l'existant au prêt-pour-certification : analyse d'écart face à la norme, accompagnement à la construction du SMSI, et préparation pratique jusqu'à l'audit de certification.
ISO 27001
- Visibility Rapport DarkWeb . VulnMonitor
- Verification Audit sécurité . Pentest . Sécurité cloud
- Control PAM
- Governance ISO 27001
01 . Visibilité, externe
Rapport DarkWeb, exposition externe
La vue qu'un attaquant a de vous. Scan mensuel du domaine : identifiants fuités, sous-domaines exposés, ports ouverts, vulnérabilités en frontière, classés en un score de risque exécutif.
- Mots de passe fuités croisés avec les bases de données de brèches connues
- Découverte de sous-domaines et inventaire de la surface d'attaque externe
- Ports ouverts et vulnérabilités sur les services exposés sur Internet
02 . Visibilité, interne
Surveillance continue des vulnérabilités
La vue depuis l'intérieur du périmètre. VulnMonitor croise chaque avis avec votre inventaire réel et expose les zero-day dès la publication, pas quand le CVE arrive.
- Exposition zero-day remontée avant l'émission d'un CVE
- IA prédit la probabilité d'exploitation à 30 jours ; CVEs exploités promus automatiquement
- Preuves de conformité pré-remplies : ISO 27001, SOC 2, NIST CSF et 800-53
03 . Vérification, posture
Audit de sécurité
Une revue structurée de vos systèmes en production contre les CIS Benchmarks, chaque écart documenté, attribué à une personne nommée, avec une estimation de remédiation.
- Durcissement de la production contre les CIS Benchmarks
- Identités et accès passés en revue, exceptions documentées
- Feuille de route de remédiation avec estimations d'effort
3/7
Contrôles conformes
- Chiffrement disque imposé sur tous les postes Réussi
- MFA exigé pour chaque compte à privilèges Échoué
- Connexion root SSH désactivée en production Réussi
- Politique de mot de passe conforme à la longueur du référentiel Partiel
Checklist illustrative, pas un système réel. Votre audit rapporte vos propres contrôles face au profil CIS Benchmark en périmètre.
04 . Vérification, adverse
Test d'intrusion
Tests cadrés et autorisés de vos applications web, API et réseau, périmètres externe et interne. Chaque engagement s'ouvre par un Rules of Engagement signé et se termine par des constats reproductibles et priorisés.
- Rules of Engagement signé avant tout test actif
- Constats avec étapes de reproduction et preuves
- Correctifs re-testés, attestation incluse
Élevé
Risque agrégé
- Prise de contrôle via contournement d'authentification enchaîné (app.example.com) Critique
- Autorisation au niveau objet cassée sur /api/v1/orders Critique
- Injection SQL dans un ancien point de recherche Élevé
- Panneau d'administration exposé sur un hôte public Élevé
Chaque constat est livré avec étapes de reproduction, preuves et revérification. Illustration uniquement.
05 . Vérification, posture cloud
Services de sécurité cloud
Une évaluation de vos environnements AWS, Azure et GCP face aux meilleures pratiques cloud. Mauvaises configurations, permissions trop larges et services exposés sont remontés, classés et rendus sous forme de plan priorisé pour durcir la posture et la garder durcie.
- Revue de posture face au référentiel cloud en périmètre, CIS ou Well-Architected
- IAM, exposition publique et services clés passés en revue sur l'ensemble des comptes
- Feuille de route de remédiation priorisée, avec estimations d'effort
8/14
Contrôles conformes
- Buckets de stockage objet lisibles publiquement Échoué
- MFA imposée sur le compte racine Réussi
- Utilisateurs IAM avec privilèges admin sans MFA Échoué
- Groupe de sécurité VPC par défaut ouvert à 0.0.0.0/0 Partiel
Constats de posture illustratifs. Votre évaluation rapporte vos propres comptes face au référentiel cloud en périmètre.
06 . Contrôle, accès privilégié
Gestion des accès privilégiés
Mise en coffre des identifiants privilégiés, enregistrement de chaque session privilégiée, accès accordé en juste-à-temps, avec une trace complète de qui a touché quel serveur et quand, alignée sur les contrôles que vos auditeurs ISO 27001 et SOC 2 lisent.
- Identifiants en coffre, chaque session privilégiée enregistrée
- Accès juste-à-temps et traçabilité complète par serveur et par utilisateur
- Se branche sur votre annuaire et fournisseur d'identité existants
07 . Gouvernance, SMSI
Conseil ISO 27001 et préparation
De l'existant au prêt-pour-certification. Une analyse d'écart face à ISO/IEC 27001, un plan concret pour combler ce qui manque, et un accompagnement pratique jusqu'à l'audit de certification. Nous vous préparons ; un registraire accrédité délivre le certificat.
- Analyse d'écart face à ISO/IEC 27001 et aux contrôles de l'Annexe A
- Accompagnement à la construction du SMSI, pile documentaire et plan de traitement du risque
- Audit interne et préparation pratique jusqu'à l'audit de certification
58/93
Contrôles Annexe A mis en œuvre
- A.5.1 Politiques de sécurité de l'information Mis en œuvre
- A.5.15 Contrôle d'accès Mis en œuvre
- A.6.3 Sensibilisation à la sécurité En cours
- A.8.8 Gestion des vulnérabilités techniques Écart ouvert
Analyse d'écart illustrative face à ISO/IEC 27001:2022. Votre revue rapporte votre propre SMSI face aux contrôles de l'Annexe A en périmètre.
En chiffres
Quatre chiffres qui cartographient les sept champs que CloudKey couvre.
La sécurité n'est pas un seul tableau. Chaque chiffre ci-dessous est le type de risque que l'un de nos services est conçu pour réduire.
-
01 . Exposition externe
0 Md+
Identifiants déjà présents dans les corpus de fuites publiques.
Si vos équipes réutilisent leurs mots de passe, c'est le premier puits où vont chercher les attaquants. DarkWeb Report recoupe vos domaines avec les bases de fuites connues chaque mois et signale les correspondances avant qu'elles ne tournent à l'incident.
DarkWeb ReportSource : décompte agrégé des corpus de fuites (Have I Been Pwned et similaires). Indicatif, à remplacer avant lancement
-
02 . Volume de CVE
0 +/an
Nouvelles vulnérabilités publiées chaque année.
Environ 110 avis entrent dans le catalogue NVD chaque jour. VulnMonitor les rapproche du matériel que vous exploitez vraiment, puis classe celles qui comptent contre KEV et EPSS.
VulnMonitorSource : flux CVE NVD 2024. Indicatif, à remplacer avant lancement
-
03 . Délai de détection
0 jours
Temps médian pour identifier une compromission.
Les revues de posture et les tests adverses raccourcissent ce délai. L'audit de sécurité mesure votre infrastructure contre les CIS Benchmarks. Le test d'intrusion prouve que les contrôles tiennent sous attaque, puis revérifie chaque correctif.
Audit de sécuritéSource : IBM Cost of a Data Breach Report 2024. Indicatif, à remplacer avant lancement
-
04 . Identifiants compromis
0 %
Des compromissions impliquent des identifiants volés ou compromis.
Les comptes à privilèges sont les clés du royaume. PAM les coffre, enregistre chaque session, et donne aux auditeurs la trace complète de qui a touché quel serveur, et quand.
PAMSource : Verizon Data Breach Investigations Report 2024. Indicatif, à remplacer avant lancement
CloudKey couvre toute la chaîne. Voir ce qui est exposé, vérifier que les défenses tiennent, verrouiller les accès à privilèges, et bâtir le système de management que les auditeurs reconnaissent. Quatre couches, de la surface d'attaque à la gouvernance, des preuves sur chaque constat.
Réserver une démo plateformeRessources
Ce que l'équipe publie
Nouveau Méthodologie
CVSS vs EPSS vs KEV : comment prioriser les CVE qui comptent
Ce que la liste de preuves d'exploit de la CISA vous dit de l'ordre des patchs, illustré par deux vrais CVE de ce mois.
Lire Notes de terrain
Ce que contient un bon rapport de surveillance dark web
Un rapport de surveillance dark web anonymisé, parcouru section par section. Le registre des constats ouverts. Les attestations de re-test. Ce que les auditeurs demandent en premier.
Lire
Ingénierie
Réconciliation SBOM et inventaire d'actifs en pratique
Ce que votre équipe pense être en production diffère souvent des manifestes. La réconciliation SBOM et inventaire d'actifs ferme la dérive.
LireCommencez par la visibilité
Voyez votre rapport mensuel DarkWeb et exposition, puis ajoutez les couches dont vous avez besoin.
Un rapport anonymisé par mois : identifiants fuités, sous-domaines exposés, vulnérabilités en frontière, sur le périmètre que vous autorisez, livré à un propriétaire nommé. Les couches Vérification et Contrôle suivent une fois la photo claire.
La reconnaissance ne s'exécute qu'après autorisation écrite. Notre politique de périmètre. →