OSINT technique : cartographier une infrastructure avec Shodan, Maltego et SpiderFoot

Un cran au-dessus : des outils pensés pour les équipes sécurité

Sherlock, Holehe, WhatsMyName ou PimEyes s'utilisent depuis un navigateur ou une simple ligne de commande, pour un usage ponctuel. Les quatre outils de cet article visent un public différent : équipes de sécurité, pentesteurs, journalistes d'investigation, analystes en veille concurrentielle. Ils demandent un peu plus de mise en place, mais restent gratuits ou disponibles en version communautaire, et reposent sur le même principe que le reste du dossier : recouper des informations déjà publiques, pas s'introduire où on n'est pas autorisé.

Cette dernière précision compte plus ici que pour les outils précédents. Shodan, theHarvester, Maltego et SpiderFoot sont directement issus du monde du test d'intrusion : ce sont les outils qu'un attaquant utiliserait aussi en phase de reconnaissance, avant même de tenter quoi que ce soit. Les utiliser sur ses propres actifs, ou dans le cadre d'un mandat explicite (test d'intrusion commandé, bug bounty, enquête journalistique sur des faits publics), est légitime. Les utiliser sur le système d'un tiers sans autorisation constitue un accès frauduleux à un système de traitement automatisé de données, sanctionné par l'article 323-1 du code pénal, indépendamment du fait que les informations trouvées soient elles-mêmes publiques.

Cas d'usage : découvrir ce qu'une organisation expose sans le savoir (Shodan)

Shodan, créé par John Matherly en 2009, fonctionne à l'inverse d'un moteur de recherche classique. Là où Google indexe le contenu des pages web, Shodan scanne des plages d'adresses IP et interroge les ports ouverts qu'il trouve, puis conserve la bannière renvoyée par chaque service (serveur web, caméra IP, base de données, système industriel). Le résultat est un moteur de recherche pour tout ce qui est connecté à internet, pas seulement les sites web : caméras de surveillance mal configurées, bases de données exposées sans mot de passe, imprimantes réseau, automates industriels.

Usage légitime : une entreprise peut interroger Shodan sur sa propre plage d'adresses IP pour découvrir ce qu'elle expose réellement sur internet, souvent plus que ce que son équipe IT imagine. C'est une pratique courante en audit de sécurité, avant même de lancer un test d'intrusion actif.

Avantages : couverture massive (l'ensemble d'IPv4 est scanné en continu), interface web accessible sans installation, résultats immédiats sans avoir besoin de sonder soi-même la cible.

Limites : la recherche libre et l'historique complet nécessitent un compte payant (le compte gratuit limite fortement les résultats et les filtres) ; Shodan ne montre que ce qu'il a déjà scanné, pas l'état en temps réel d'un service.

La réputation de Shodan comme « moteur de recherche le plus dangereux d'internet » vient précisément de là : il ne pirate rien, il ne fait qu'indexer ce qui est déjà accessible publiquement, souvent par oubli de configuration plutôt que par choix.

Cas d'usage : cartographier la surface d'attaque email et sous-domaines d'une organisation (theHarvester)

theHarvester, créé par Christian Martorella et maintenu depuis sur GitHub (plus de 15 000 étoiles), automatise une étape que la plupart des audits de sécurité effectuent manuellement en début de mission : recenser les sous-domaines, adresses email, noms d'employés et adresses IP publiquement associés à un nom de domaine. L'outil interroge en parallèle des moteurs de recherche, les journaux de certificats TLS (certificate transparency), des bases DNS et des API spécialisées (Shodan, Hunter, SecurityTrails), puis consolide le tout dans un rapport unique.

Usage légitime : lancer theHarvester sur son propre nom de domaine avant un audit de sécurité, pour voir exactement ce qu'un attaquant verrait en première étape de reconnaissance. Une organisation qui découvre ainsi un sous-domaine de test oublié, encore en ligne trois ans après un projet abandonné, vient de trouver gratuitement ce qu'un audit payant aurait facturé.

Avantages : entièrement gratuit et open source, fonctionne en mode passif (aucune requête directe vers la cible, donc indétectable), consolide plusieurs sources en une seule commande.

Limites : nécessite une installation Python ou Docker et un minimum de ligne de commande ; certaines sources tierces demandent une clé API gratuite mais à créer séparément ; la qualité des résultats dépend de sources externes qui changent régulièrement leurs formats.

Cas d'usage : visualiser les liens entre des entités (Maltego)

Shodan et theHarvester produisent des listes. Maltego, développé par Paterva, produit un graphe. On part d'une entité, un nom de domaine, une adresse email, un nom de personne, et l'outil interroge automatiquement des dizaines de sources pour faire apparaître les entités liées (autres domaines, adresses IP, comptes sociaux, entreprises), représentées sous forme de nœuds connectés visuellement. Ce sont ces requêtes automatisées, appelées « transforms », qui font la valeur de l'outil : chacune part d'un type de donnée et retourne des données liées, sans recherche manuelle site par site.

C'est l'outil de référence pour les enquêteurs, y compris dans certains services de police et de renseignement, précisément parce qu'il rend visible en quelques clics ce qui demanderait des heures de recoupement manuel. Usage légitime : visualiser les connexions entre plusieurs entités déjà identifiées par ailleurs (des domaines suspects partagent-ils le même registrant, une entreprise apparaît-elle liée à plusieurs autres via des dirigeants communs), plutôt que reconstituer ces liens un par un.

Avantages : rendu visuel qui rend un recoupement complexe immédiatement lisible, très large bibliothèque de transforms (plus de 60 types d'entités en standard), édition communautaire gratuite.

Limites : l'édition communautaire plafonne à 200 crédits mensuels, 12 résultats par transform et 10 000 entités par graphe, ce qui suffit pour une première cartographie mais pas pour une investigation approfondie ; l'interface demande un temps d'apprentissage supérieur aux outils précédents.

Cas d'usage : automatiser une collecte OSINT complète (SpiderFoot)

SpiderFoot, créé par Steve Micallef et développé en continu depuis 2012 (environ 20 000 étoiles GitHub), pousse l'automatisation plus loin encore. Plus de 200 modules interrogent en parallèle des sources aussi variées que des bases de fuites de données, des flux de threat intelligence, des services cloud mal configurés ou des registres DNS, et surtout s'alimentent les uns les autres : une information trouvée par un module relance automatiquement une requête dans un autre.

Usage légitime : lancer un scan SpiderFoot sur le nom de domaine ou l'adresse email de son entreprise donne, en une seule commande, une synthèse que Shodan, theHarvester et une recherche manuelle mettraient plusieurs heures à assembler séparément. C'est l'outil à privilégier pour un premier état des lieux complet avant de creuser un point précis avec les outils plus ciblés vus plus haut.

Avantages : entièrement gratuit sous licence MIT, la plupart des modules ne demandent aucune clé API, moteur de corrélation qui croise automatiquement les résultats entre modules, export CSV/JSON pour retraiter les données ailleurs.

Limites : un scan complet sur les 200+ modules peut prendre du temps et générer un volume de résultats important à trier ; certains modules avancés (threat intelligence commerciale) demandent malgré tout une clé API payante pour donner leur plein potentiel.

Ce que ces quatre outils ont en commun

Aucun de ces outils ne pirate quoi que ce soit : Shodan indexe des bannières déjà exposées, theHarvester interroge des sources déjà publiques, Maltego et SpiderFoot automatisent des recherches qu'un humain pourrait faire à la main. Leur puissance vient uniquement de l'échelle et de la vitesse, pas d'un accès privilégié. C'est aussi ce qui les rend dignes d'être connus au-delà du seul monde de la sécurité informatique : une organisation qui ne sait pas ce que Shodan ou theHarvester révèlent sur elle laisse cette découverte à qui la fera en premier, et ce n'est pas toujours dans son intérêt que ce soit un attaquant. Ces outils montrent votre exposition ; pour situer la menace, encore faut-il savoir lire une cartographie de la menace cyber.

Pour aller plus loin : OSINT, outils accessibles et cas d'usage concrets