![<\/a><\/div>\n\n “Un boxeur tire le plus grand avantage de son partenaire d’entra\u00eenement …”– Epictetus, 50\u2013135 apr\u00e8s JC<\/cite>\n<\/p><\/blockquote>\nHaut les mains. Menton cach\u00e9. Genoux pli\u00e9s. <\/em>La cloche sonne et les deux boxeurs se rencontrent au centre et au cercle. Red lance trois coups, feint un quatri\u00e8me et – Bang – atterrit une main droite sur Blue en bas du centre.<\/p>\nCe n’\u00e9tait pas le premier jour de Blue et malgr\u00e9 sa solide d\u00e9fense devant le miroir, il ressent la pression. Mais quelque chose a chang\u00e9 dans le ring; La vari\u00e9t\u00e9 de coups de poing, les feintes, l’intensit\u00e9 – cela n’a rien \u00e0 voir avec les simulations de son entra\u00eeneur. Ma d\u00e9fense est-elle suffisamment forte pour r\u00e9sister \u00e0 cela? <\/em>Il se demande, Ai-je m\u00eame une d\u00e9fense?<\/em><\/p>\nSon entra\u00eeneur le rassure “Si ce n’\u00e9tait pas pour toute votre pratique, vous n’auriez pas d\u00e9fendu ces premiers coups. Vous avez une d\u00e9fense – maintenant vous devez le calibrer. Et cela se produit dans le ring.”<\/p>\nLa cybers\u00e9curit\u00e9 n’est pas diff\u00e9rente. Vous pouvez avoir vos mains en place – le d\u00e9ploiement de la bonne architecture, des politiques et des mesures de s\u00e9curit\u00e9 – mais le plus petit \u00e9cart de votre d\u00e9fense pourrait permettre \u00e0 un attaquant de d\u00e9crocher un coup de poing \u00e0 \u00e9limination directe. La seule fa\u00e7on de tester votre pr\u00e9paration est sous pression, se disputant le ring.<\/p>\nLa diff\u00e9rence entre la pratique et le vrai combat<\/h2>\nEn boxe, les partenaires de combat sont abondants. Chaque jour, les combattants entrent sur le ring pour perfectionner leurs comp\u00e9tences contre de vrais adversaires. Mais en cybers\u00e9curit\u00e9, les partenaires de combat sont plus rares. L’\u00e9quivalent est les tests de p\u00e9n\u00e9tration, mais un Pentest ne se produit dans une organisation typique qu’une fois par an, peut-\u00eatre deux fois, au mieux chaque trimestre. Il n\u00e9cessite une pr\u00e9paration approfondie, contracter une agence sp\u00e9cialis\u00e9e co\u00fbteuse et boucler l’environnement \u00e0 tester. En cons\u00e9quence, les \u00e9quipes de s\u00e9curit\u00e9 passent souvent des mois sans faire face \u00e0 une v\u00e9ritable activit\u00e9 contradictoire. Ils sont conformes, leurs mains sont en place et leurs mentons sont cach\u00e9s. Mais seraient-ils r\u00e9silients sous attaque?<\/p>\nLes cons\u00e9quences des tests peu fr\u00e9quents<\/h2>\n1. Drift: la lente \u00e9rosion de la d\u00e9fense<\/h3>\nLorsqu’un boxeur passe des mois sans se tenant, leur intuition terne. Il est victime du concept connu sous le nom de “pouces” o\u00f9 il a le bon mouvement d\u00e9fensif, mais il lui manque des pouces, se faisant prendre par des tirs qu’il sait d\u00e9fendre. En cybers\u00e9curit\u00e9, cela s’apparente \u00e0 d\u00e9rive de configuration<\/em>: Changements incr\u00e9mentiels dans l’environnement, qu’il s’agisse de nouveaux utilisateurs, des actifs obsol\u00e8tes, des ports n’a plus fr\u00e9quent\u00e9 ou une perte progressive d’\u00e9talonnage d\u00e9fensif. Au fil du temps, les lacunes \u00e9mergent, non pas parce que les d\u00e9fenses ont disparu, mais parce qu’elles sont tomb\u00e9es en alignement.<\/p>\n2. ETPACES D\u00c9T\u00c9C\u00c9R\u00c9ES: Les limites de l’ombre <\/h3>\nUn boxeur et leur entra\u00eeneur ne peuvent aller si loin que l’entra\u00eenement. Le shadowboxing et les exercices aident, mais l’entra\u00eeneur n’appellera pas les erreurs discr\u00e8tes, qui pourraient laisser le boxeur vuln\u00e9rable. Ils ne peuvent pas non plus reproduire l’impr\u00e9visibilit\u00e9 d’un v\u00e9ritable adversaire. Il y a tout simplement trop de choses qui peuvent mal tourner. La seule fa\u00e7on pour un entra\u00eeneur d’\u00e9valuer l’\u00e9tat de son boxeur est de voir comment il est touch\u00e9 et de diagnostiquer pourquoi. <\/p>\nDe m\u00eame, en cybers\u00e9curit\u00e9, la surface d’attaque est vaste et en constante \u00e9volution. Aucune \u00e9valuation de la pentistie ne peut anticiper tous les vecteurs d’attaque possibles et d\u00e9tecter chaque vuln\u00e9rabilit\u00e9. La seule fa\u00e7on de d\u00e9couvrir des lacunes est de tester \u00e0 plusieurs reprises contre les sc\u00e9narios d’attaque r\u00e9els.<\/p>\n3. Port\u00e9e des tests limit\u00e9s: le danger de tests partiels<\/h3>\nUn entra\u00eeneur doit voir son combattant test\u00e9 contre une vari\u00e9t\u00e9 d’adversaires. Il peut \u00eatre bien contre un adversaire qui lance principalement des tirs \u00e0 la t\u00eate, mais qu’en est-il des punchateurs ou des contre-coups? Il peut s’agir de domaines d’am\u00e9lioration. Si une \u00e9quipe de s\u00e9curit\u00e9 ne teste que sur un type particulier de menace et n’\u00e9largit pas sa port\u00e9e \u00e0 d’autres exploits, qu’il s’agisse de mots de passe ou de erreurs de configuration, ils risquent de se laisser expos\u00e9s \u00e0 tous les points d’acc\u00e8s faibles qu’un attaquant trouve. Par exemple, une application Web peut \u00eatre s\u00e9curis\u00e9e, mais qu’en est-il d’un dipl\u00f4me divulgu\u00e9 ou d’une int\u00e9gration API douteuse?<\/p>\nhttps:\/\/www.youtube.com\/watch?v=t3ndksdbjo0<\/a><\/p>\nLe contexte compte quand il s’agit de hi\u00e9rarchiser les correctifs<\/h2>\nToutes les vuln\u00e9rabilit\u00e9 ne sont pas un coup de poing \u00e0 \u00e9limination directe. Tout comme le style unique d’un boxeur peut compenser les d\u00e9fauts techniques, la compensation des contr\u00f4les en cybers\u00e9curit\u00e9 peut att\u00e9nuer les risques. Prenez Muhammad Ali, selon les normes des manuels, sa d\u00e9fense \u00e9tait d\u00e9fectueuse, mais son athl\u00e9tisme et son adaptabilit\u00e9 le rendaient intouchable. De m\u00eame, la basse main avant de Floyd Mayweather peut sembler une faiblesse, mais son rouleau d’\u00e9paule l’a transform\u00e9 en une force d\u00e9fensive.<\/p>\nEn cybers\u00e9curit\u00e9, les scanners de vuln\u00e9rabilit\u00e9 mettent souvent en \u00e9vidence des dizaines – sinon des centaines – de probl\u00e8mes. Mais tous ne sont pas critiques. Tous les environnements informatiques sont diff\u00e9rents et un CVE de haute s\u00e9v\u00e9rit\u00e9 peut \u00eatre neutralis\u00e9 par un contr\u00f4le de r\u00e9mun\u00e9ration, tel que la segmentation du r\u00e9seau ou des politiques d’acc\u00e8s strictes. Le contexte est essentiel car il fournit la compr\u00e9hension n\u00e9cessaire de ce qui n\u00e9cessite une attention imm\u00e9diate par rapport \u00e0 ce qui ne le fait pas.<\/p>\nLe co\u00fbt \u00e9lev\u00e9 des tests peu fr\u00e9quents<\/h2>\nLa valeur des tests contre un r\u00e9el adversaire n’est pas nouveau. Les boxeurs se sont stimul\u00e9s pour se pr\u00e9parer aux combats. Les \u00e9quipes de cybers\u00e9curit\u00e9 effectuent des tests de p\u00e9n\u00e9tration pour durcir leurs d\u00e9fenses. Mais que se passe-t-il si les boxeurs devaient payer des dizaines de milliers de dollars chaque fois qu’ils se sont affront\u00e9s? Leur apprentissage ne se produirait que sur le ring – pendant le combat – et le co\u00fbt de l’\u00e9chec serait d\u00e9vastateur.<\/p>\nC’est la r\u00e9alit\u00e9 pour de nombreuses organisations. Les tests de p\u00e9n\u00e9tration traditionnels sont chers, prenant du temps et souvent limit\u00e9s. En cons\u00e9quence, de nombreuses \u00e9quipes ne testent qu’une ou deux fois par an, laissant leurs d\u00e9fenses sans contr\u00f4le pendant des mois. Lorsqu’une attaque se produit, les lacunes sont expos\u00e9es – et le co\u00fbt est \u00e9lev\u00e9.<\/p>\nTests continus et proactifs<\/h2>\nPour vraiment durcir leurs d\u00e9fenses, les organisations doivent aller au-del\u00e0 des tests annuels peu fr\u00e9quents. Au lieu de cela, ils ont besoin tests continue et automatis\u00e9<\/a> Cela \u00e9mule les attaques r\u00e9elles. Ces outils imitent l’activit\u00e9 contradictoire, d\u00e9couvrent les lacunes et fournissant des informations exploitables sur les endroits pour resserrer les contr\u00f4les de s\u00e9curit\u00e9, comment recalibrer les d\u00e9fenses et fournir des correctifs pr\u00e9cis pour l’assainissement. Faire tout cela avec une fr\u00e9quence r\u00e9guli\u00e8re et sans le co\u00fbt \u00e9lev\u00e9 des tests traditionnels.<\/p>\nEn combinant la validation automatis\u00e9e de la s\u00e9curit\u00e9 avec l’expertise humaine, les organisations peuvent maintenir une forte posture d\u00e9fensive et s’adapter \u00e0 l’\u00e9volution des menaces.<\/p>\nEn savoir plus sur la pentiste automatis\u00e9e en visitant Pentera<\/a>.<\/p>\nNote:<\/b> Cet article est r\u00e9dig\u00e9 de mani\u00e8re experte et apport\u00e9e par William Schaffer, repr\u00e9sentant principal du d\u00e9veloppement des ventes chez Pentera.<\/i><\/p>\n<\/p>\nVous avez trouv\u00e9 cet article int\u00e9ressant? Cet article est un article contribu\u00e9 de l’un de nos pr\u00e9cieux partenaires.<\/span> Suivez-nous Gazouillement \uf099<\/i><\/a> et Liendin<\/a> Pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Sortage-dans-le-cyber-ring-Utilisation-de-Pentest-automatise-pour.png\"){kind=link}
\n“Un boxeur tire le plus grand avantage de son partenaire d’entra\u00eenement …”
– Epictetus, 50\u2013135 apr\u00e8s JC<\/cite>\n<\/p><\/blockquote>\nHaut les mains. Menton cach\u00e9. Genoux pli\u00e9s. <\/em>La cloche sonne et les deux boxeurs se rencontrent au centre et au cercle. Red lance trois coups, feint un quatri\u00e8me et – Bang – atterrit une main droite sur Blue en bas du centre.<\/p>\n
Ce n’\u00e9tait pas le premier jour de Blue et malgr\u00e9 sa solide d\u00e9fense devant le miroir, il ressent la pression. Mais quelque chose a chang\u00e9 dans le ring; La vari\u00e9t\u00e9 de coups de poing, les feintes, l’intensit\u00e9 – cela n’a rien \u00e0 voir avec les simulations de son entra\u00eeneur. Ma d\u00e9fense est-elle suffisamment forte pour r\u00e9sister \u00e0 cela? <\/em>Il se demande, Ai-je m\u00eame une d\u00e9fense?<\/em><\/p>\n
Son entra\u00eeneur le rassure “Si ce n’\u00e9tait pas pour toute votre pratique, vous n’auriez pas d\u00e9fendu ces premiers coups. Vous avez une d\u00e9fense – maintenant vous devez le calibrer. Et cela se produit dans le ring.”<\/p>\n
La cybers\u00e9curit\u00e9 n’est pas diff\u00e9rente. Vous pouvez avoir vos mains en place – le d\u00e9ploiement de la bonne architecture, des politiques et des mesures de s\u00e9curit\u00e9 – mais le plus petit \u00e9cart de votre d\u00e9fense pourrait permettre \u00e0 un attaquant de d\u00e9crocher un coup de poing \u00e0 \u00e9limination directe. La seule fa\u00e7on de tester votre pr\u00e9paration est sous pression, se disputant le ring.<\/p>\n
La diff\u00e9rence entre la pratique et le vrai combat<\/h2>\n
En boxe, les partenaires de combat sont abondants. Chaque jour, les combattants entrent sur le ring pour perfectionner leurs comp\u00e9tences contre de vrais adversaires. Mais en cybers\u00e9curit\u00e9, les partenaires de combat sont plus rares. L’\u00e9quivalent est les tests de p\u00e9n\u00e9tration, mais un Pentest ne se produit dans une organisation typique qu’une fois par an, peut-\u00eatre deux fois, au mieux chaque trimestre. Il n\u00e9cessite une pr\u00e9paration approfondie, contracter une agence sp\u00e9cialis\u00e9e co\u00fbteuse et boucler l’environnement \u00e0 tester. En cons\u00e9quence, les \u00e9quipes de s\u00e9curit\u00e9 passent souvent des mois sans faire face \u00e0 une v\u00e9ritable activit\u00e9 contradictoire. Ils sont conformes, leurs mains sont en place et leurs mentons sont cach\u00e9s. Mais seraient-ils r\u00e9silients sous attaque?<\/p>\n
Les cons\u00e9quences des tests peu fr\u00e9quents<\/h2>\n
1. Drift: la lente \u00e9rosion de la d\u00e9fense<\/h3>\n
Lorsqu’un boxeur passe des mois sans se tenant, leur intuition terne. Il est victime du concept connu sous le nom de “pouces” o\u00f9 il a le bon mouvement d\u00e9fensif, mais il lui manque des pouces, se faisant prendre par des tirs qu’il sait d\u00e9fendre. En cybers\u00e9curit\u00e9, cela s’apparente \u00e0 d\u00e9rive de configuration<\/em>: Changements incr\u00e9mentiels dans l’environnement, qu’il s’agisse de nouveaux utilisateurs, des actifs obsol\u00e8tes, des ports n’a plus fr\u00e9quent\u00e9 ou une perte progressive d’\u00e9talonnage d\u00e9fensif. Au fil du temps, les lacunes \u00e9mergent, non pas parce que les d\u00e9fenses ont disparu, mais parce qu’elles sont tomb\u00e9es en alignement.<\/p>\n
2. ETPACES D\u00c9T\u00c9C\u00c9R\u00c9ES: Les limites de l’ombre <\/h3>\n
Un boxeur et leur entra\u00eeneur ne peuvent aller si loin que l’entra\u00eenement. Le shadowboxing et les exercices aident, mais l’entra\u00eeneur n’appellera pas les erreurs discr\u00e8tes, qui pourraient laisser le boxeur vuln\u00e9rable. Ils ne peuvent pas non plus reproduire l’impr\u00e9visibilit\u00e9 d’un v\u00e9ritable adversaire. Il y a tout simplement trop de choses qui peuvent mal tourner. La seule fa\u00e7on pour un entra\u00eeneur d’\u00e9valuer l’\u00e9tat de son boxeur est de voir comment il est touch\u00e9 et de diagnostiquer pourquoi. <\/p>\n
De m\u00eame, en cybers\u00e9curit\u00e9, la surface d’attaque est vaste et en constante \u00e9volution. Aucune \u00e9valuation de la pentistie ne peut anticiper tous les vecteurs d’attaque possibles et d\u00e9tecter chaque vuln\u00e9rabilit\u00e9. La seule fa\u00e7on de d\u00e9couvrir des lacunes est de tester \u00e0 plusieurs reprises contre les sc\u00e9narios d’attaque r\u00e9els.<\/p>\n
3. Port\u00e9e des tests limit\u00e9s: le danger de tests partiels<\/h3>\n
Un entra\u00eeneur doit voir son combattant test\u00e9 contre une vari\u00e9t\u00e9 d’adversaires. Il peut \u00eatre bien contre un adversaire qui lance principalement des tirs \u00e0 la t\u00eate, mais qu’en est-il des punchateurs ou des contre-coups? Il peut s’agir de domaines d’am\u00e9lioration. Si une \u00e9quipe de s\u00e9curit\u00e9 ne teste que sur un type particulier de menace et n’\u00e9largit pas sa port\u00e9e \u00e0 d’autres exploits, qu’il s’agisse de mots de passe ou de erreurs de configuration, ils risquent de se laisser expos\u00e9s \u00e0 tous les points d’acc\u00e8s faibles qu’un attaquant trouve. Par exemple, une application Web peut \u00eatre s\u00e9curis\u00e9e, mais qu’en est-il d’un dipl\u00f4me divulgu\u00e9 ou d’une int\u00e9gration API douteuse?<\/p>\n
https:\/\/www.youtube.com\/watch?v=t3ndksdbjo0<\/a><\/p>\n
Le contexte compte quand il s’agit de hi\u00e9rarchiser les correctifs<\/h2>\n
Toutes les vuln\u00e9rabilit\u00e9 ne sont pas un coup de poing \u00e0 \u00e9limination directe. Tout comme le style unique d’un boxeur peut compenser les d\u00e9fauts techniques, la compensation des contr\u00f4les en cybers\u00e9curit\u00e9 peut att\u00e9nuer les risques. Prenez Muhammad Ali, selon les normes des manuels, sa d\u00e9fense \u00e9tait d\u00e9fectueuse, mais son athl\u00e9tisme et son adaptabilit\u00e9 le rendaient intouchable. De m\u00eame, la basse main avant de Floyd Mayweather peut sembler une faiblesse, mais son rouleau d’\u00e9paule l’a transform\u00e9 en une force d\u00e9fensive.<\/p>\n
En cybers\u00e9curit\u00e9, les scanners de vuln\u00e9rabilit\u00e9 mettent souvent en \u00e9vidence des dizaines – sinon des centaines – de probl\u00e8mes. Mais tous ne sont pas critiques. Tous les environnements informatiques sont diff\u00e9rents et un CVE de haute s\u00e9v\u00e9rit\u00e9 peut \u00eatre neutralis\u00e9 par un contr\u00f4le de r\u00e9mun\u00e9ration, tel que la segmentation du r\u00e9seau ou des politiques d’acc\u00e8s strictes. Le contexte est essentiel car il fournit la compr\u00e9hension n\u00e9cessaire de ce qui n\u00e9cessite une attention imm\u00e9diate par rapport \u00e0 ce qui ne le fait pas.<\/p>\n
Le co\u00fbt \u00e9lev\u00e9 des tests peu fr\u00e9quents<\/h2>\n
La valeur des tests contre un r\u00e9el adversaire n’est pas nouveau. Les boxeurs se sont stimul\u00e9s pour se pr\u00e9parer aux combats. Les \u00e9quipes de cybers\u00e9curit\u00e9 effectuent des tests de p\u00e9n\u00e9tration pour durcir leurs d\u00e9fenses. Mais que se passe-t-il si les boxeurs devaient payer des dizaines de milliers de dollars chaque fois qu’ils se sont affront\u00e9s? Leur apprentissage ne se produirait que sur le ring – pendant le combat – et le co\u00fbt de l’\u00e9chec serait d\u00e9vastateur.<\/p>\n
C’est la r\u00e9alit\u00e9 pour de nombreuses organisations. Les tests de p\u00e9n\u00e9tration traditionnels sont chers, prenant du temps et souvent limit\u00e9s. En cons\u00e9quence, de nombreuses \u00e9quipes ne testent qu’une ou deux fois par an, laissant leurs d\u00e9fenses sans contr\u00f4le pendant des mois. Lorsqu’une attaque se produit, les lacunes sont expos\u00e9es – et le co\u00fbt est \u00e9lev\u00e9.<\/p>\n
Tests continus et proactifs<\/h2>\n
Pour vraiment durcir leurs d\u00e9fenses, les organisations doivent aller au-del\u00e0 des tests annuels peu fr\u00e9quents. Au lieu de cela, ils ont besoin tests continue et automatis\u00e9<\/a> Cela \u00e9mule les attaques r\u00e9elles. Ces outils imitent l’activit\u00e9 contradictoire, d\u00e9couvrent les lacunes et fournissant des informations exploitables sur les endroits pour resserrer les contr\u00f4les de s\u00e9curit\u00e9, comment recalibrer les d\u00e9fenses et fournir des correctifs pr\u00e9cis pour l’assainissement. Faire tout cela avec une fr\u00e9quence r\u00e9guli\u00e8re et sans le co\u00fbt \u00e9lev\u00e9 des tests traditionnels.<\/p>\n
En combinant la validation automatis\u00e9e de la s\u00e9curit\u00e9 avec l’expertise humaine, les organisations peuvent maintenir une forte posture d\u00e9fensive et s’adapter \u00e0 l’\u00e9volution des menaces.<\/p>\n
En savoir plus sur la pentiste automatis\u00e9e en visitant Pentera<\/a>.<\/p>\n
Note:<\/b> Cet article est r\u00e9dig\u00e9 de mani\u00e8re experte et apport\u00e9e par William Schaffer, repr\u00e9sentant principal du d\u00e9veloppement des ventes chez Pentera.<\/i><\/p>\n
<\/p>\n
Vous avez trouv\u00e9 cet article int\u00e9ressant? Cet article est un article contribu\u00e9 de l’un de nos pr\u00e9cieux partenaires.<\/span> Suivez-nous Gazouillement \uf099<\/i><\/a> et Liendin<\/a> Pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n