Audit & Tests d'intrusion

Détecter les menaces potentielles qui pèsent sur votre activité telle est notre mission !

Le pentest (ou test d'intrusion)

Un à vos outils de sécurité

Les cyber-attaques se font de plus en plus menaçantes pour les entreprises ou collectivités.
Votre entreprise ou votre collectivité dispose de données sensibles.

Elle est très probablement raccordée à internet et utilise des services de messagerie, de partage de fichiers, de communication unifiée, de marketing, etc.

Préconisée ou exigé par un certain nombre de méthodologies et de réglementations, le « pentest » ou test d’intrusion a pour objectif d’analyser l’infrastructure informatique et simuler l’attaque d’un utilisateur mal intentionné ou d’un logiciel malveillant.

Interne ou externe ?

L'objectif d'un pentest est d'évaluer le niveau de sécurité d'une infrastructure, d'un service web ou encore d'un site e-commerce. Pour cela, l'auditeur (ou communément appelé pentester ou ethical hacker), va tester la cible en simulant des attaques réelles.

Externe

Ce type d’audit peut être réalisé sur des cibles externes de l’entreprise (sites web accessibles sur internet, API publiques…). Le pentester réalise ses tests à distance, depuis une simple connexion internet. Il simulera des attaques d’acteurs malveillants, de manière anonyme.

Interne

Il peut être aussi réalisé en interne, depuis les locaux de l’entreprise. Dans ce contexte, le pentester simulera des actions malveillantes depuis l’intérieur de l’entreprise. Le but est de mesurer le risque de compromission par un collaborateur, un partenaire ou un prestataire de l’entreprise.

Une fois le périmètre déterminé, il convient de choisir quel type de pentest va être réalisé

Black Box

Une approche « Black Box » ou « Boîte Noire » consiste à évaluer le niveau de sécurité de la cible en ne disposant d’aucune information. Dans un tel contexte, l’auditeur se positionne comme n’importe quel acteur malveillant. Ce type d’approche nécessite de la méthodologie et du temps pour explorer la cible.

La spécificité de cette approche est qu’elle n’est pas orientée. Et de ce fait, surface d’attaque est par. N’importe quel équipement ou application accessible depuis internet sera audité.

Grey Box

Une approche « Grey Box » ou « Boîte Grise » permet d’optimiser le temps et la surface d’attaque. Le pentester reçoit une quantité limitée d’information permettant de cadrer le périmètre. Ainsi le pentester se concentrera sur ce périmètre.

Cependant, que le test d’intrusion soit en approche « Black Box » ou « Grey Box« , la communication entre l’entreprise et l’auditeur est un élément clé. 
Il sera nécessaire de recadrer le périmètre, de gérer les incidents, etc. afin que le résultat soit le plus pertinent et le plus riche pour le client.

Qu’il s’agisse de faire un état des lieux ou bien d’une étape de la livraison de nouveaux produits, le pentest (ou test d’intrusion) est nécessaire à l’évaluation de votre niveau de sécurité. Il vient compléter votre dispositif de cybersécurité.

Une évolution logique : la red team et la blue team

Les tests d’intrusion sont généralement limités dans le temps. C’est pourquoi il faut monter 2 équipes pour minimiser le temps des tests tout en maximisant les compétences de chacun. 

La mise en place d'une red team consiste à dédier une équipe à la recherche de vulnérabilités. Nous sommes dans une approche offensive.
Elle teste les dispositifs et évolutions mises en oeuvre par la blue team. Vous l'aurez donc compris, la blue team est dans une démarche défensive.

Vous souhaitez en savoir plus sur notre activité Ethical Hacking ?

Contactez-nous !