Sonde de cybersécurité : définition, utilité et limites

Que désigne le mot « sonde » ?

Le terme recouvre plusieurs types de capteurs. Une sonde réseau analyse des flux ou des métadonnées de communication. Une sonde installée sur un poste observe plutôt des événements locaux. D’autres dispositifs collectent les journaux transmis par des serveurs, applications ou équipements de sécurité. L’ANSSI décrit la journalisation comme une source utile à la détection et à l’analyse après incident.

Une sonde n’est donc pas définie seulement par son boîtier ou son logiciel, mais par son point d’observation, les données collectées et l’usage qui en est fait.

Que peut-elle réellement détecter ?

Selon sa configuration, elle peut faire ressortir une communication vers une destination connue comme malveillante, une succession inhabituelle de connexions, un volume anormal, une tentative de déplacement entre systèmes ou un comportement qui s’écarte d’une référence établie. Des indicateurs de compromission partagés par des acteurs tels que le CIRCL au moyen de MISP peuvent alimenter certaines règles de détection.

Une alerte reste cependant un signal à qualifier. Elle peut correspondre à une attaque, à une activité légitime inhabituelle ou à une règle mal adaptée. La sonde fournit des éléments d’enquête ; elle ne détermine pas seule la réalité ni la gravité d’un incident.

Quelles sont ses limites ?

Une sonde ne voit que le trafic ou les événements qui lui sont accessibles. Le chiffrement peut limiter le contenu observable, une architecture mal documentée peut laisser des zones aveugles et un attaquant peut employer une technique non couverte par les règles. La sonde ne corrige pas un logiciel vulnérable, ne restaure pas une sauvegarde et n’attribue pas automatiquement une décision à la bonne personne.

Avant tout déploiement, il faut donc définir le périmètre, les points de collecte, la durée de conservation, les destinataires des alertes et la procédure de réaction. Les journaux eux-mêmes doivent être protégés contre les accès non autorisés et les modifications, comme le recommande l’ANSSI.

La surveillance du réseau peut-elle concerner des personnes ?

Oui. Une adresse IP, un identifiant de compte ou un historique de connexion peut constituer une donnée personnelle lorsqu’il permet d’identifier directement ou indirectement une personne. Les principes de finalité, de minimisation, de durée limitée, de sécurité et d’information prévus par le RGPD, notamment ses articles 5, 13, 25 et 32, doivent alors être pris en compte. Ce texte réglementaire est cité dans sa version officielle publiée au Journal officiel de l’Union européenne, avec ses rectificatifs accessibles depuis EUR-Lex.

Un cas : quand c’est la supervision elle-même qui est compromise

Le 15 février 2021, l’ANSSI publie le rapport CERTFR-2021-CTI-005. Il décrit une campagne qui a visé des serveurs Centreon — un logiciel de supervision — exposés sur Internet. La campagne s’est déroulée de fin 2017 à 2020. Les entités touchées sont principalement des prestataires informatiques français, en particulier des hébergeurs.

Sur les serveurs compromis, l’ANSSI a trouvé deux portes dérobées : un webshell nommé P.A.S. en version 3.1.4, et une porte dérobée Exaramel. Le rapport précise un point qu’il faut lire jusqu’au bout : le chemin de compromission initial n’est pas connu.

Deux choses en ressortent, et elles concernent directement une PME qui envisage une sonde ou un outil de supervision :

• Un outil qui surveille tout est un outil qui accède à tout. Une sonde, une console de supervision, un agent de sauvegarde ou un outil de prise en main à distance sont installés partout et disposent de droits élevés. Ils protègent ; ils élargissent aussi ce qu’un attaquant obtient s’il les atteint.
• Trois ans, c’est la durée, pas la sophistication. Ce qui a permis à la campagne de durer n’est pas la finesse des outils. C’est que personne ne regardait ce que ces serveurs faisaient. Une sonde qui collecte sans être lue n’est pas une détection : c’est une archive.

L’article Qu’est-ce qu’une vulnérabilité ? montre le cas inverse : une faille connue, corrigée trop tard. Ici, la faille d’entrée reste inconnue, et c’est la surveillance qui a manqué.

Ce que doit décider une PME

Aucune de ces décisions n’est technique. Elles se prennent avant d’acheter un outil, pas après.

• Qui lit les alertes, et quand ? C’est la question qui décide de tout le reste. Une sonde sans lecteur ne détecte rien. S’il n’y a personne le soir et le week-end, il faut l’écrire et en tenir compte.
• Combien de temps garde-t-on les journaux ? Une intrusion se découvre souvent des semaines après son début. Des journaux de sept jours ne permettent pas de reconstituer ce qui s’est passé le mois précédent.
• Qui a accès à l’outil de supervision, et depuis où ? C’est le compte le plus intéressant du parc. Il mérite une authentification à deux facteurs et un accès restreint, au même titre que la comptabilité.
• Que fait-on d’une alerte ? Qui l’ouvre, qui décide qu’elle est réelle, qui a le droit d’isoler une machine. Sans ces trois réponses, l’alerte devient une pièce jointe qu’on transfère.
• Les personnes sont-elles informées ? Surveiller un réseau d’entreprise touche des données de salariés. L’information des personnes et la consultation de la délégation, lorsqu’elle existe, ne sont pas des formalités : elles conditionnent la licéité du dispositif.

Sources

Liens vérifiés le 28 septembre 2026.

• ANSSI, CERT-FR, rapport CERTFR-2021-CTI-005, 15 février 2021 : cert.ssi.gouv.fr.
• ANSSI, CERT-FR, indicateurs de compromission CERTFR-2021-IOC-002 : cert.ssi.gouv.fr.
• CIRCL, services offerts aux organisations luxembourgeoises : circl.lu.
• Portail national de la cybersécurité : cybersecurite.lu.

La sonde prend toute sa valeur lorsque ses alertes arrivent à une fonction chargée de les examiner. Cette organisation est expliquée dans Qu’est-ce qu’un SOC ?. Les défauts techniques qu’elle peut contribuer à repérer sont présentés dans Qu’est-ce qu’une faille de sécurité informatique ?.