Tests d’intrusion
Un test d’intrusion est une tentative contrôlée visant à s’introduire dans vos systèmes comme le ferait un véritable attaquant, afin que vous puissiez identifier la faille avant lui. Il ne s’agit pas d’un simple scan de vulnérabilités avec une page de garde plus soignée : un scanner répertorie les éventuels problèmes ; un test d’intrusion vous indique si ceux-ci sont réellement exploitables, et ce qu’un intrus pourrait faire une fois qu’il a accédé à vos systèmes.
Je définis le périmètre de ces évaluations en fonction de ce qui vous importe : un test de réseau externe, un test interne partant du principe qu’un point d’ancrage existe déjà, une application web ou mobile, ou encore un système spécifique qui vous préoccupe. Le périmètre doit correspondre à une question concrète à laquelle vous cherchez une réponse, et non à une simple case à cocher générique.
Ma méthode de travail
Je commence par la reconnaissance — la même collecte d’informations en open source qu’effectuerait un véritable attaquant —, puis je passe à l’identification et à la tentative d’exploitation des faiblesses, pour enfin montrer ce qu’il est possible d’atteindre à partir de là. L’objectif n’est pas de repérer toutes les failles théoriques, mais de trouver les voies qui mènent réellement quelque part, de les enchaîner comme le ferait un attaquant, et de vous montrer l’étendue réelle des conséquences.
Chaque test se termine par un échange, et non par un simple document. Le rapport classe les résultats par ordre de priorité en fonction du risque réel et de la vulnérabilité exploitable, et je le passe en revue avec votre équipe afin que les personnes chargées de corriger les problèmes comprennent exactement ce qui s’est passé et pourquoi cela est important — et non pas simplement un score de gravité dépourvu de contexte.
À quelle fréquence, et de quel type
Les tests annuels constituent la base exigée par la plupart des cadres de conformité, mais si vous déployez fréquemment des modifications ou si vous venez de subir un changement majeur de votre infrastructure, cette fréquence n’est pas suffisante à elle seule. Je vous dirai en toute honnêteté si un test complet ou une vérification plus ciblée et plus fréquente est la solution la plus adaptée à votre situation.
Prêt à découvrir ce qui est réellement accessible dans votre environnement ? Parlons de la portée du projet.