isMalicious vs Censys : la découverte Internet et les verdicts de réputation sont des métiers différents

Censys a bâti un produit solide autour d'une question précise : qu'est-ce qui est joignable sur Internet, et qu'est-ce que cela expose ? Découverte d'hôtes, recherche dans la transparence des certificats, énumération de ports et services, empreinte logicielle. Si c'est la question que vous avez, Censys y répond avec une portée à l'échelle Internet que peu d'outils égalent.

La comparaison surgit parce que les données de découverte ne clôturent pas une décision de sécurité. Savoir qu'un hôte exécute un certificat TLS obsolète sur le port 443 est un contexte utile, et cela ne dit pas si cet hôte fait partie d'une infrastructure de phishing, d'un canal C2 ou d'un nœud CDN légitime. Cet écart — entre ce qui existe et ce qui est dangereux — est là où les deux produits se séparent.

Ce que Censys fait bien

• Une découverte d'hôtes et services à l'échelle Internet, balayant des milliards d'observations pour cartographier ce qui est exposé.
• Une recherche dans la transparence des certificats avec une couverture historique profonde pour suivre les schémas d'émission et les erreurs d'émission.
• Une empreinte logicielle et protocole, identifiant ce qui tourne sur les services découverts sans accès direct.
• Une énumération de surface d'attaque pour les organisations cartographiant leur empreinte externe ou recherchant une infrastructure adversaire.
• Un accès aux données de niveau recherche pour les chercheurs en sécurité menant des mesures Internet à grande échelle.

Pour la reconnaissance, la découverte d'actifs et la recherche d'infrastructure, c'est un outil spécialisé.

Où le manque apparaît

Les limites sont du côté de l'évaluation :

• Aucun verdict de réputation. Censys renvoie des observations, pas des jugements. Un analyste doit encore déterminer si un hôte découvert est malveillant.
• Aucun scoring d'URL de phishing. Il n'existe pas de point de terminaison qui récupère une page, suit les redirections et évalue le contenu — le triage de liens exige donc un outil séparé.
• Aucun suivi de groupes de ransomware liant un indicateur à une campagne d'extorsion.
• Aucune surveillance du dark web pour des signaux d'exposition de données ou d'identifiants.
• Aucun contexte d'exploitation CVE au-delà de ce que vous déduisez des versions logicielles exposées.
• Pas calibré pour l'automatisation de listes de blocage. Le modèle de données sert la recherche et la découverte, pas la poussée planifiée d'infrastructure confirmée malveillante vers pare-feux et résolveurs DNS.

Les équipes cherchent rarement une alternative à Censys parce que les données de balayage les ont déçues. Elles cherchent parce qu'elles ont terminé la découverte et ont toujours besoin de verdicts, de flux et d'application — sans couche d'évaluation.

Ce que fournit isMalicious

isMalicious est construit autour de la question d'évaluation :

• Des verdicts de réputation multi-sources pour les IP, domaines et URL, avec classification de menace plutôt que données de balayage brutes.
• Une analyse d'URL avec suivi de chaîne de redirection pour trier les liens signalés.
• Un renseignement CVE avec les statuts CVSS, EPSS et KEV reliant un service exposé à une exploitation active de sa vulnérabilité.
• Le suivi des groupes de ransomware et des signaux d'exposition sur le dark web.
• Des exports de listes de blocage et des collections STIX/TAXII pour que les verdicts atteignent les contrôles pare-feu et SIEM.
• Une offre gratuite en libre-service et une tarification transparente pour l'évaluation sans cycle d'achat.

Du côté découverte, isMalicious fournit des enregistrements DNS, WHOIS, une visibilité sous-domaines et l'ancienneté de domaine dans un rapport de menace. Cela couvre les besoins d'enrichissement de la plupart des workflows SOC une fois que vous avez une liste d'actifs. Cela n'égale pas Censys en profondeur de balayage à l'échelle Internet, et si l'énumération d'hôtes à grande échelle est au cœur de votre métier, cette différence est réelle.

La couverture CTI partielle sur isMalicious signifie un enrichissement tactique et des flux, pas un programme de renseignement stratégique avec rapports rédigés par des analystes. C'est une frontière de périmètre honnête, pas une limitation dissimulée.

Comparaison des fonctionnalités

| Capacité | Censys | isMalicious | | :--- | :--- | :--- | | Découverte d'hôtes à l'échelle Internet | Oui, spécialiste | Non | | Recherche transparence certificats | Oui, profonde | Non | | Énumération ports / services | Oui | Non | | Empreinte logicielle | Oui | Partiel | | Contexte WHOIS / DNS | Partiel | Oui | | Verdict de réputation IP | Non | Oui | | Réputation domaine | Non | Oui | | Analyseur URL | Non | Oui | | Corrélation multi-sources | Non | Oui | | Suivi groupes ransomware | Non | Oui | | Renseignement CVE (CVSS, EPSS, KEV) | Non | Oui | | Surveillance dark web | Non | Oui | | Export listes de blocage / STIX-TAXII | Non | Oui | | Enrichissement API en masse | Partiel | Oui | | Offre gratuite en libre-service | Limitée | Oui |

La répartition qui fonctionne en pratique

Plutôt que de remplacer l'un par l'autre, la plupart des workflows matures se divisent par question :

1. Découverte d'abord. Énumérer les actifs externes, rechercher une infrastructure adversaire ou l'historique certificats est un problème de découverte. Censys l'emporte ici.
2. Évaluation ensuite. Une fois que vous avez hôtes, domaines et certificats, la question opérante est lesquels portent une réputation malveillante, une exploitation active ou une association de campagne. C'est un problème de verdict.
3. Application enfin. Tout ce qui est confirmé malveillant doit atteindre les contrôles qui le bloquent — un flux, pas une interface de recherche.

Le mode d'échec consiste à traiter l'étape un comme l'ensemble du travail. Un export Censys listant 200 services exposés sans évaluation de risque génère du travail plutôt qu'il n'en réduit.

C'est à l'étape d'évaluation que les contrôles en masse comptent. La sortie de découverte — domaines, IP, sujets de certificats — alimente directement l'enrichissement en volume, renvoyant réputation et contexte CVE par entrée. Brancher le même appel sur des workflows SIEM via l'API transforme les revues récurrentes de surface d'attaque en un diff de ce qui a changé et de ce qui est nouvellement signalé.

Pour commencer

Si votre travail est la découverte à l'échelle Internet, la recherche certificats et l'énumération de surface d'attaque en profondeur de balayage, Censys est le spécialiste et cette comparaison devrait vous y renvoyer. Si vous avez besoin de verdicts, de contexte d'exploitation et de flux que les contrôles d'application peuvent consommer, consultez le face-à-face sur la page de comparaison Censys.

L'étape pratique consiste à prendre une sortie de découverte existante — une liste d'hôtes, un résultat de recherche certificats, une énumération de sous-domaines — et à la passer par les contrôles en masse. La comparaison utile n'est pas un tableau de fonctionnalités ; c'est combien d'entrées reviennent avec un verdict attaché versus combien vous évalueriez encore à la main.