Un test d’intrusion (\u00e9galement connu sous le nom de pentest) est une \u00e9valuation de la s\u00e9curit\u00e9 qui simule les activit\u00e9s d’attaquants du monde r\u00e9el pour identifier les failles de s\u00e9curit\u00e9 dans vos syst\u00e8mes ou applications informatiques. <\/p>\n
Le but du test est de comprendre quelles vuln\u00e9rabilit\u00e9s vous avez, comment elles pourraient \u00eatre exploit\u00e9es et quel serait l’impact si un attaquant r\u00e9ussissait.<\/p>\n
Habituellement effectu\u00e9 en premier, un pentest externe (\u00e9galement appel\u00e9 test de p\u00e9n\u00e9tration du r\u00e9seau externe) est une \u00e9valuation de vos syst\u00e8mes de p\u00e9rim\u00e8tre. Votre p\u00e9rim\u00e8tre est constitu\u00e9 de tous les syst\u00e8mes directement accessibles depuis Internet. Par d\u00e9finition, ils sont expos\u00e9s et sont donc les plus facilement et r\u00e9guli\u00e8rement attaqu\u00e9s.<\/p>\n
Tester les faiblesses<\/h2>\n
Les pentests externes recherchent des moyens de compromettre ces syst\u00e8mes et services externes accessibles pour acc\u00e9der \u00e0 des informations sensibles et voir comment un attaquant pourrait cibler vos clients, clients ou utilisateurs. <\/p>\n
Dans un pentest externe de haute qualit\u00e9, le ou les professionnels de la s\u00e9curit\u00e9 copieront les activit\u00e9s de vrais pirates, comme l’ex\u00e9cution d’exploits pour tenter de prendre le contr\u00f4le de vos syst\u00e8mes. Ils testeront \u00e9galement l’\u00e9tendue de toutes les faiblesses qu’ils trouveront pour voir jusqu’o\u00f9 un attaquant malveillant pourrait creuser dans votre r\u00e9seau et quel serait l’impact commercial d’une attaque r\u00e9ussie.<\/p>\n
Ex\u00e9cutez d’abord des pentests externes<\/h2>\n
Les tests d’intrusion externes supposent que l’attaquant n’a pas eu d’acc\u00e8s pr\u00e9alable \u00e0 vos syst\u00e8mes ou r\u00e9seaux. Ceci est diff\u00e9rent d’un test d’intrusion interne qui teste le sc\u00e9nario dans lequel un attaquant a d\u00e9j\u00e0 un pied sur une machine compromise ou se trouve physiquement dans le b\u00e2timent. Il est g\u00e9n\u00e9ralement logique de couvrir d’abord les fondamentaux et d’envisager des tests internes apr\u00e8s avoir effectu\u00e9 une analyse r\u00e9guli\u00e8re des vuln\u00e9rabilit\u00e9s et des tests de p\u00e9n\u00e9tration externes.<\/p>\n
Comment effectuer des tests d’intrusion externes<\/h2>\n
Alors, comment faites-vous pour obtenir un test d’intrusion externe\u00a0? Planifier un pentest externe devrait \u00eatre aussi simple que de demander \u00e0 votre fournisseur de services g\u00e9r\u00e9s ou \u00e0 votre conseil informatique, et de les diriger vers vos syst\u00e8mes de p\u00e9rim\u00e8tre (une liste de domaines et d’adresses\/plages IP).<\/p>\n
Un test d’intrusion externe est normalement ex\u00e9cut\u00e9 sur la base d’une “bo\u00eete noire”, ce qui signifie qu’aucune information privil\u00e9gi\u00e9e (telle que les informations d’identification de l’application, les sch\u00e9mas d’infrastructure ou le code source) n’est fournie aux testeurs. Ceci est similaire \u00e0 l’endroit o\u00f9 un v\u00e9ritable pirate informatique ciblant votre organisation commencerait, une fois qu’il aurait d\u00e9couvert une liste de vos adresses IP et domaines.<\/p>\n
Mais il y a quelques indications importantes et une diligence raisonnable qu’il convient de garder \u00e0 l’esprit lors de l’organisation de votre test d’intrusion externe\u00a0:<\/p>\n
- \n
- Qui effectue votre test\u00a0? <\/strong>Sont-ils un testeur d’intrusion qualifi\u00e9\u00a0? Vous pouvez en savoir plus sur les certifications de test d’intrusion et le choix d’un cabinet de conseil dans le guide sur comment choisir une entreprise de test d’intrusion<\/a>.<\/li>\n
- Combien serez-vous factur\u00e9 ?<\/strong> Les devis sont normalement bas\u00e9s sur un taux journalier et votre travail est d\u00e9fini en fonction du nombre de jours n\u00e9cessaires pour effectuer l’\u00e9valuation. Chacun de ceux-ci peut varier d’une entreprise \u00e0 l’autre, il peut donc \u00eatre int\u00e9ressant de faire le tour pour voir ce qui est propos\u00e9.<\/li>\n
- Qu’est-ce qui est inclus ?<\/strong> Les fournisseurs de services respectables devraient vous proposer une proposition ou un \u00e9nonc\u00e9 de travail qui d\u00e9crit le travail \u00e0 entreprendre. Faites attention \u00e0 ce qui est \u00e0 l’int\u00e9rieur et \u00e0 ce qui ne l’est pas.<\/li>\n
- Quoi d’autre est recommand\u00e9?<\/strong> Choisissez un fournisseur qui inclut la v\u00e9rification de vos services expos\u00e9s pour la r\u00e9utilisation des informations d’identification viol\u00e9es, les attaques par pulv\u00e9risation de mots de passe et les tests d’applications Web sur des applications accessibles au public.<\/li>\n
- Faut-il inclure l’ing\u00e9nierie sociale ?<\/strong> Cela peut \u00eatre une bonne valeur ajout\u00e9e, bien que ce type de test r\u00e9ussisse presque toujours lorsqu’il est tent\u00e9 par un attaquant suffisamment d\u00e9termin\u00e9, il ne devrait donc pas \u00eatre une exigence stricte si votre budget est limit\u00e9.<\/li>\n<\/ul>\n
Test d’intrusion externe vs analyse de vuln\u00e9rabilit\u00e9<\/h2>\n
Si vous \u00eates familier avec l’analyse des vuln\u00e9rabilit\u00e9s, vous remarquerez qu’un pentest externe partage certaines similitudes. Alors, quelle est la diff\u00e9rence ?<\/p>\n
En r\u00e8gle g\u00e9n\u00e9rale, un test d’intrusion externe comprend une analyse compl\u00e8te analyse de vuln\u00e9rabilit\u00e9 externe<\/a>, mais c’est juste l\u00e0 que \u00e7a commence. Toutes les sorties des outils d’analyse seront examin\u00e9es manuellement par un pentester pour supprimer les faux positifs, ex\u00e9cuter des exploits pour v\u00e9rifier l’\u00e9tendue\/l’impact de la faiblesse et “encha\u00eener” plusieurs faiblesses pour produire des exploits plus percutants. <\/p>\n
L\u00e0 o\u00f9 un scanner de vuln\u00e9rabilit\u00e9 signalerait simplement qu’un service pr\u00e9sente une faiblesse critique, un pentest tenterait d’exploiter cette faiblesse et de prendre le contr\u00f4le du syst\u00e8me. En cas de succ\u00e8s, le pentester utilisera son acc\u00e8s pour aller plus loin et compromettre d’autres syst\u00e8mes et services.<\/p>\n
Les pentests plongent profond\u00e9ment dans les vuln\u00e9rabilit\u00e9s<\/h2>\n
Alors que les scanners de vuln\u00e9rabilit\u00e9 identifient souvent les probl\u00e8mes potentiels, un testeur d’intrusion les explorerait en profondeur et indiquerait si la faiblesse n\u00e9cessite ou non une attention particuli\u00e8re. Par exemple, les scanners de vuln\u00e9rabilit\u00e9 signalent r\u00e9guli\u00e8rement la \u00ab\u00a0liste des r\u00e9pertoires\u00a0\u00bb, o\u00f9 les serveurs Web offrent une liste de tous les fichiers et dossiers sur le serveur. Ce n’est pas n\u00e9cessairement une vuln\u00e9rabilit\u00e9 en soi, mais cela n\u00e9cessite une enqu\u00eate.<\/p>\n
Si un fichier sensible (comme un fichier de configuration de sauvegarde contenant des informations d’identification) est expos\u00e9 et r\u00e9pertori\u00e9 par liste de r\u00e9pertoires, un simple probl\u00e8me d’information (tel que signal\u00e9 par un scanner de vuln\u00e9rabilit\u00e9) peut rapidement se transformer en un risque \u00e0 fort impact pour votre organisation. Le travail du pentester consiste \u00e0 examiner attentivement les r\u00e9sultats d’une gamme d’outils, pour s’assurer que rien n’est laiss\u00e9 au hasard.<\/p>\n
Et si j’ai besoin de tests plus rigoureux ?<\/h2>\n
Certaines autres activit\u00e9s qu’un v\u00e9ritable attaquant effectuerait et qui ne sont pas effectu\u00e9es par les scanners de vuln\u00e9rabilit\u00e9 peuvent \u00e9galement \u00eatre incluses, mais elles varient d’un testeur \u00e0 l’autre. V\u00e9rifiez la proposition ou posez des questions avant de programmer le pentest si vous souhaitez qu’elles soient prises en compte. Par exemple:<\/p>\n
- \n
- Attaques de devinettes de mot de passe soutenues (pulv\u00e9risation, force brute) pour tenter de compromettre les comptes d’utilisateurs sur les VPN expos\u00e9s et d’autres services<\/li>\n
- Gratter le dark web et les bases de donn\u00e9es de violation des informations d’identification connues de vos employ\u00e9s et les int\u00e9grer dans des panneaux et des services administratifs<\/li>\n
- Test d’application Web lorsqu’un m\u00e9canisme d’auto-inscription est disponible<\/li>\n
- Attaques d’ing\u00e9nierie sociale telles que l’hame\u00e7onnage de vos employ\u00e9s<\/li>\n<\/ul>\n
Les pentests ne peuvent pas remplacer les tests de vuln\u00e9rabilit\u00e9 r\u00e9guliers<\/h2>\n
N’oubliez pas que de nouvelles vuln\u00e9rabilit\u00e9s critiques sont d\u00e9couvertes quotidiennement et que les attaquants exploitent g\u00e9n\u00e9ralement les faiblesses les plus graves dans la semaine suivant leur d\u00e9couverte. <\/p>\n
Bien qu’un test d’intrusion externe soit une \u00e9valuation importante pour examiner en profondeur la s\u00e9curit\u00e9 de vos syst\u00e8mes expos\u00e9s, il est pr\u00e9f\u00e9rable de l’utiliser comme un service suppl\u00e9mentaire pour compl\u00e9ter l’analyse r\u00e9guli\u00e8re des vuln\u00e9rabilit\u00e9s – que vous devriez d\u00e9j\u00e0 avoir en place\u00a0!<\/p>\n
\u00c0 propos de l’intrus<\/h2>\n
- Combien serez-vous factur\u00e9 ?<\/strong> Les devis sont normalement bas\u00e9s sur un taux journalier et votre travail est d\u00e9fini en fonction du nombre de jours n\u00e9cessaires pour effectuer l’\u00e9valuation. Chacun de ceux-ci peut varier d’une entreprise \u00e0 l’autre, il peut donc \u00eatre int\u00e9ressant de faire le tour pour voir ce qui est propos\u00e9.<\/li>\n