Auditer les ressources Internet de son entreprise

Il s’agit d’un examen documenté des adresses IPv4 et IPv6, des ASN, des comptes auprès des registres, des autorisations de routage, des contrats, des pièces juridiques et des contrôles opérationnels. Le résultat attendu est une chaîne de responsabilité, pas une simple liste d’adresses.

Pour chaque ressource, l’entreprise doit pouvoir expliquer son origine, son titulaire, son usage, son chemin de routage, ses droits d’administration et la réponse prévue en cas de litige ou de changement.

Les ressources numériques s’accumulent au fil des projets, des prestataires et des réorganisations. Une ancienne entité reste parfois inscrite, un contact parti conserve un accès, ou un contrat ne décrit plus l’usage réel. Ces écarts deviennent des risques commerciaux, juridiques et opérationnels.

Un audit mené à temps laisse encore plusieurs options : corriger un registre, sécuriser un compte, renégocier une échéance, préparer un transfert ou réduire une dépendance fournisseur.

Le périmètre comprend l’inventaire, le registre régional compétent, la chaîne juridique, les comptes, BGP, RPKI/ROA, les objets IRR, les lettres d’autorisation, les baux, l’usage par des tiers, la consommation, IPv6, le reverse DNS, la géolocalisation, la réputation, les politiques applicables, la criticité métier et les mesures correctives.

Le réseau établit les faits techniques. Le juridique, le commercial, la sécurité, la finance, la conformité et les opérations vérifient les droits, les engagements et les conséquences pour les clients.

Délimitez les sociétés concernées, leurs anciens noms, les acquisitions, les régions, les datacenters, le cloud, l’hébergement, les filiales et les coentreprises. Incluez les ressources louées, données en location ou attribuées par un fournisseur. Un responsable coordonne preuves, échéances et corrections avec le réseau, la sécurité, le juridique, la conformité, les finances, les achats, l’administration, les risques, les équipes d’acquisition et la direction. Datez chaque observation.

Croisez les portails des registres, RDAP/WHOIS, l’IPAM, les routeurs, BGP, le cloud, les pare-feu, le DNS, le transit et la colocation avec les factures, transferts, locations, acquisitions et tableaux d’achats. Le registre seul ne recense pas forcément les ressources louées ou héritées. Pour chaque préfixe ou ASN, notez le type, le RIR, l’entité, le responsable, les contacts, la date et l’origine d’acquisition, l’usage, l’ASN d’origine, les transitaires, RPKI, IRR, le DNS inverse, le contrat, la criticité et l’emplacement des justificatifs.

Consultez les données officielles d’ARIN, du RIPE NCC, d’APNIC, d’AFRINIC ou de LACNIC : organisation, statut et type de ressource, dates, historique des transferts, contacts administratifs, techniques et abus, adhésion, contrat et frais. Les RFC 9082 et 9083 décrivent les requêtes et réponses RDAP. Conservez une preuve datée ; une affirmation du fournisseur ne remplace pas le registre.

Reconstituez la chaîne des allocations, attributions, transferts et locations jusqu’à l’entité actuelle. Vérifiez changements de nom, fusions, restructurations, filiales, dissolutions et transferts inachevés. Statuts, actes de changement de nom, autorisations d’acquisition, accords avec le registre, décisions du conseil, factures, baux, LOA et correspondance doivent se recouper. Des années d’utilisation ne comblent pas une rupture documentaire.

Examinez les comptes nominatifs ou partagés, les API, les domaines de messagerie, les téléphones de récupération et les accès des consultants et prestataires. Privilégiez le moindre privilège, une MFA résistante au phishing, la double validation des changements sensibles, des journaux indépendants et une revue trimestrielle des droits. Retirez les accès des départs, protégez les moyens de récupération et testez réellement la reprise d’un compte.

Comparez les annonces BGP à la conception du réseau, aux configurations, contrats de transit, LOA, ROA, objets IRR, services cloud et locations. Recherchez origines inconnues, préfixes plus spécifiques, visibilité partielle, routes absentes et annonces maintenues après la fin d’un service. Plusieurs ASN d’origine peuvent être légitimes : multihoming, migration, architecture distribuée ou service de sécurité. Il faut vérifier l’autorisation, pas conclure automatiquement à un détournement.

Un ROA autorise un ASN à annoncer un préfixe et peut préciser une longueur maximale ; son format est décrit par la RFC 9582. Vérifiez présence, préfixe, ASN, maxLength et état de validation : Valid, Invalid ou NotFound. Une limite trop large autorise davantage de sous-préfixes ; trop restrictive, elle peut invalider des annonces légitimes. Lors d’une migration, créez et vérifiez la nouvelle autorisation avant de retirer les anciennes routes et ROA. Contrôlez aussi les anciens ASN, les droits de modification et la surveillance.

Pour route, route6, aut-num, as-set et mntner, vérifiez le registre, le préfixe, l’origine, le mainteneur et ses identifiants. Repérez doublons, conflits et objets d’anciens prestataires, puis rapprochez-les de BGP et de RPKI. Un objet périmé peut conduire un réseau amont à accepter ou refuser une route à tort. Avant suppression, vérifiez les dépendances de production et contrôlez le filtrage après changement.

Chaque LOA doit préciser préfixe, organisation, ASN, usage, dates d’émission et d’expiration, signataire, contrat associé et révocation. Recherchez anciens salariés ou fournisseurs, mauvais ASN, autorisations indéfinies, documents absents et contradictions avec les ROA. Une LOA ne remplace ni les données du registre ni une validation cryptographique du routage. Confirmez le pouvoir du signataire et la nécessité actuelle de l’autorisation.

Examinez les ressources prises ou données en location : parties, préfixes, durée, usages autorisés, ASN, régions, clients, traitement des abus, RPKI, IRR, DNS inverse, géolocalisation, renouvellement, résiliation, restitution et renumérotation. À la fin, vérifiez l’arrêt des annonces BGP, la révocation des LOA, la mise à jour des ROA et de l’IRR, le retrait des accès DNS et la clôture des attributions clients et des dossiers internes.

Distinguez adresses actives, réservées, d’infrastructure, affectées aux clients, en quarantaine, disponibles, inconnues, injoignables, en migration ou destinées à la croissance. L’absence de trafic ne prouve pas l’inutilité : secours, veille, listes d’autorisation, faible activité et engagements clients comptent aussi. Recherchez sous-réseaux surdimensionnés, projets abandonnés, anciens clients, doubles réservations, fragmentation, adresses publiques utilisées seulement en interne et écarts avec l’IPAM.

Auditez séparément allocations IPv6, plan d’adressage, routes, ROA, IRR, DNS inverse, pare-feu, découverte des voisins, groupes de sécurité cloud, surveillance, configurations clients, anciens plans et compétences. IPv6 peut avoir été activé automatiquement sans être surveillé. Documentez son état réel : déploiement complet, partiel, interne, involontaire, prévu ou désactivé par décision explicite.

Vérifiez délégations DNS inverses, serveurs faisant autorité, PTR et droits des anciens prestataires, ainsi que les dépendances de la messagerie et des journaux. Comparez bases de géolocalisation et geofeed au déploiement réel. Des incohérences peuvent affecter délivrabilité, diagnostic, accès, détection des fraudes, publicité régionale, analyses et conformité. Identifiez le responsable de la correction et vérifiez son effet.

Examinez réputation, listes de blocage, plaintes pour abus, spam, logiciels malveillants, scans, fraudes, incidents clients, corrections et quarantaine, avec les contacts et délais de réponse. Une inscription ne signifie pas nécessairement que l’adresse est inutilisable : elle peut être ancienne, contestée ou liée au précédent utilisateur. Jugez source, date, preuves, usage actuel, impact et remédiation ; contrôlez aussi les ressources avant leur attribution à un nouveau client.

Revoyez adhésion, accords, frais, transferts, validation des contacts, contrôles des ressources, dispositions historiques, RPKI, obligations déclaratives et changements envisagés. Distinguez politique en vigueur, contrat, procédure opérationnelle, recommandation, proposition et simple discussion. Un projet ne crée pas à lui seul une obligation actuelle. Formations, adhésion et participation aux politiques de NRS peuvent aider les équipes à suivre ces enjeux.

Évaluez clients et revenus dépendants, coût de renumérotation, listes d’autorisation, réputation mail, partenaires, cloud, réglementation, ressources de remplacement et délai de rétablissement. Une ressource critique expose à un impact majeur ; une ressource de niveau élevé soutient une activité importante et se remplace difficilement ; un niveau modéré permet une migration planifiée ; un niveau faible correspond souvent à un usage temporaire ou facilement remplaçable. Adaptez les contrôles à cet impact.

Pour chaque constat, consignez ressource, description, preuve, catégorie de risque, impact métier, responsable, correction, échéance, vérification et état. Le tableau ci-dessous aide à hiérarchiser. La clôture suppose une correction attribuée et un résultat vérifié, pas seulement un rapport remis.

Utilisez cette liste pour préparer la revue croisée. Elle sert de garde-fou ; les preuves et les décisions restent nécessaires.

• Tous les IPv4, IPv6 et ASN sont-ils recensés ?
• Les ressources attribuées par un fournisseur ou louées sont-elles incluses ?
• Les acquisitions et anciennes entités sont-elles couvertes ?
• Chaque ressource a-t-elle un responsable interne ?

• La bonne entité juridique figure-t-elle au registre ?
• Les contacts sont-ils à jour ?
• Le statut de membre est-il clair ?
• Frais et accords sont-ils à jour ?
• Les données officielles ont-elles été conservées ?

• Les documents d’allocation et de transfert sont-ils disponibles ?
• La chaîne des entités est-elle complète ?
• Contrats, locations et LOA sont-ils en vigueur ?
• Chaque usage par un tiers est-il documenté ?

• Chaque ASN d’origine est-il compris ?
• Les origines inattendues ont-elles été examinées ?
• Les annonces obsolètes ont-elles été retirées ?
• Les préfixes plus spécifiques sont-ils autorisés ?

• Les ROA sont-ils corrects ?
• maxLength est-il adapté ?
• Les routes sont-elles valides selon RPKI ?
• Les objets IRR sont-ils exacts ?
• Les anciens mainteneurs ont-ils été retirés ?

• La MFA est-elle activée ?
• Les comptes partagés ont-ils été supprimés ?
• Les anciens salariés ont-ils perdu leurs accès ?
• Les changements sont-ils journalisés ?
• La récupération des comptes a-t-elle été testée ?

• L’utilisation est-elle mesurée ?
• Le DNS inverse est-il exact ?
• La géolocalisation a-t-elle été revue ?
• Les problèmes de réputation sont-ils suivis ?
• IPv6 est-il inclus ?

• Les changements de politique sont-ils suivis ?
• La criticité métier est-elle établie ?
• Une capacité de remplacement est-elle disponible ?
• Un plan de réponse aux incidents existe-t-il ?
• Les constats sont-ils suivis jusqu’à leur résolution ?

Prévoyez généralement un audit complet au moins annuel et une surveillance continue ou plus fréquente des éléments critiques. Acquisition, changement de nom, migration réseau, déploiement cloud important, transfert, location, incident, problème d’accès au registre, départ d’un responsable réseau, changement majeur de politique RIR, route non autorisée ou préparation d’un financement ou d’une vente justifient une nouvelle revue. Intégrez-la aux diligences de toute transaction d’infrastructure Internet.

Une ressource Internet relie accessibilité, identité juridique, contrat, sécurité et promesse client. L’audit vaut surtout parce qu’il montre cette chaîne assez tôt pour que l’entreprise puisse encore choisir et agir.

Ces réponses servent de point de départ pour une revue entre réseau, juridique, sécurité, commerce et direction.

Ce sont principalement les adresses IPv4, IPv6 et les ASN, avec les comptes, objets de routage, autorisations et dossiers qui permettent de les administrer et de les utiliser.

Parce qu’une perte de contrôle, une modification de registre ou une annonce invalide peut interrompre clients et partenaires même si les serveurs restent allumés.

Des routes invalides, des clients bloqués, des migrations forcées, des coûts de coordination, une atteinte à la réputation et des litiges sur les droits d’usage.

Réseau, juridique, commercial, finances, conformité et opérations clients doivent se partager cette responsabilité. Le réseau gère routage et configuration ; contrats, renouvellements, engagements clients et impact métier exigent une coordination transversale.

Régulièrement, mais aussi avant un renouvellement important, une migration client, une extension réseau, un changement de fournisseur ou une révision de location IP. Reprenez la revue après un incident, un changement de propriétaire, une mise à jour du registre ou une évolution des services clients critiques.