Une surface d'attaque concerne tout ce qui concerne une organisation et qu'un étranger peut voir et potentiellement cibler : domaines, sous-domaines, services exposés, informations d'identification divulguées et informations sur les employés publics. La cartographier est un exercice OSINT défensif : les équipes énumèrent leur propre surface d'attaque avant qu'un adversaire ne le fasse.
Les mêmes techniques qu'un attaquant utiliserait (empreinte, énumération de sous-domaines, vérifications des violations) sont tournées vers l'intérieur pour trouver et fermer les expositions.