Questions Fréquentes
Concernant les Tests d'Intrusion

Un test d’intrusion, aussi connu sous le nom de « Pentest », est une tentative de piratage simulée qui identifie les possibilités pour les vrais attaquants de percer vos défenses et de réaliser divers actes malveillants. Il s’appuie généralement sur les outils utilisés par les pirates informatiques et sur diverses méthodologies professionnelles pour reproduire les étapes que les pirates modernes prendraient pour s’introduire dans vos systèmes informatiques.

Un pentest tente d’exploiter vos vulnérabilités pour déterminer leur impact potentiel sur votre entreprise, si elles seraient être utilisées dans un scénario de piratage réel. Ils fournissent une liste de vulnérabilités avec leur niveau de risque respectif, ainsi que des recommandations techniques pour aider votre équipe à appliquer des mesures correctives et à se concentrer sur les vulnérabilités les plus critiques.

Ces services permettent à votre organisation de répondre, entre autres, aux questions suivantes:

• Un pirate informatique peut-il accéder à des informations sensibles ?
• Un pirate peut-il détourner mes technologies pour commettre des actes malveillants ?
• Une infection par un logiciel malveillant peut-elle se propager sur le réseau ?
• Un pirate peut-il modifier son accès pour devenir un utilisateur administratif ?

Les tests d’intrusion peuvent être effectués avec différentes intentions et permettent d’atteindre différents objectifs. Qu’il s’agisse de répondre à des exigences de tiers, d’obtenir des partenariats commerciaux ou de tester une nouvelle fonctionnalité dans le cadre d’un cycle de développement, ils peuvent servir plusieurs objectifs.

Voici quelques-unes des principales raisons de réaliser un test d’intrusion:

• Se conformer aux exigences qui imposent un test de sécurité. (tiers, PCI, ISO27001, etc.)
• Identifier les vulnérabilités et obtenir une liste de correctifs prioritaires.
• Protéger vos données et les systèmes contre les attaquants.
• Obtenir le point de vue d’un pirate informatique.
• Prévenir les pertes financières causé par un incident.
  En savoir plus sur les raisons d’effectuer un pentest →

Le prix d’un test d’intrusion peut varier considérablement en fonction de plusieurs facteurs. Pour cette raison, il n’y a pas de tranche de prix établie pour ce type d’évaluation. Chaque projet est adapté à vos objectifs et à votre environnement technologique. De nombreux facteurs doivent être déterminés avant de pouvoir établir le coût.

Voici les principaux facteurs qui peuvent affecter le coût d’un test d’intrusion :

• Portée du projet. (Nb. d’IP ciblées, Nb. de fonctionnalités dans l’application, etc.)
• L’environnement testé. (Effectué dans un environnement de production ou de développement.)
• Le type d’audit. (Réseau, Applicatif, SCADA, etc.)
• L’approche. (Approche automatisée ou manuelle)
• Objectifs. (Conformité, bonnes pratiques, etc.)

Obtenez un tarif transparent pour votre prochain test d’intrusion →

Il existe de nombreux contextes dans lesquels un test d’intrusion doit être effectué.

Voici quelques cas d’utilisation courante pour un pentest :

Dans le cadre du cycle de développement d’une application. (Pour tester la sécurité d’une nouvelle fonctionnalité/application)
Pour se conformer aux exigences de sécurité. (Tiers, PCI, ISO27001, etc.)
Pour protéger les données sensibles contre l’exfiltration.
Pour prévenir les infections par des logiciels malveillants. (logiciels de rançon, logiciels espions, etc.)
Pour prévenir les cyberattaques perturbatrices. (Comme le déni de service)
Dans le cadre d’une stratégie de gestion des risques liés à la cybersécurité.
Il est conseillé à toutes les entreprises de procéder à un test de pénétration au moins une fois par an, ainsi qu’après toute mise à niveau ou modification importante du réseau de l’entreprise. Étant donné la rapidité avec laquelle de nouveaux exploits sont découverts, nous recommandons généralement de procéder à des tests trimestriels.

Le temps nécessaire pour effectuer avec succès un test d’intrusion dépend de l’étendue et du type de test. La plupart des pentests peuvent être réalisés en quelques jours, mais certains peuvent s’étendre sur plusieurs semaines, voire plusieurs mois selon la complexité du projet.

Les scanners de vulnérabilité et les tests d’intrusion sont les techniques les plus courantes pour découvrir les failles de cybersécurité dans vos technologies. Bien qu’il existe des similitudes entre les deux, elles sont souvent mal interprétées comme étant la même chose, même si elles donnent lieu à des degrés d’analyse très différents.

Les scanners de vulnérabilité sont généralement utilisés par le personnel informatique afin de vérifier les infrastructures de réseau afin de détecter les vulnérabilités communes qui ont pu être introduites lors de leur mise en œuvre. Les pentests, en revanche, identifient à la fois les vulnérabilités bien documentées et celles qui n’ont jamais été vues auparavant, tout en fournissant des preuves de leur impact potentiel sur votre entreprise par le bias de son exploitation.

En savoir plus sur les principales différences entre les scanners et les pentests →

Tel que mentionné dans le point précédent, les tests automatisés (connus sous le nom de scanners de vulnérabilité ou d’évaluations de vulnérabilité) permettent aux équipes informatiques d’identifier les erreurs de configuration et les vulnérabilités communes dans les versions de leurs logiciels, systèmes d’exploitation et technologies.

Bien que les tests automatisés soient rentables et nécessitent moins d’expertise, ils ne produisent pas le même niveau d’analyse et ne peuvent pas identifier des vulnérabilités complexes (telles que des failles logiques dans les applications ou des vulnérabilités dans des environnements fait sur mesure). Les tests automatisés peuvent également nuire à vos systèmes et polluer vos bases de données, c’est pourquoi leur utilisation doit être limitée, complémentaire aux tests manuels et doivent être effectués par des professionnels expérimentés afin de limiter leur impact négatif.

Les tests manuels, au contraire, requièrent beaucoup plus d’expertise et une compréhension approfondie des différents contextes technologiques. Ils permettent à votre organisation de contextualiser leurs vulnérabilités et de fournir des preuves de leur impact potentiel sur votre entreprise. Ils peuvent identifier les vulnérabilités les plus subtiles qui pourraient avoir un impact critique, que les tests automatisés ne peuvent pas identifier, causant le moins de dommages possible à vos systèmes.

Il existe de nombreuses méthodologies et normes reconnues de test d’intrusion qui peuvent être utilisées selon le type d’évaluation. Voici quelques-unes des méthodologies les plus reconnues :

• OSSTMM – Fournit une méthodologie scientifique pour les tests d’intrusion réseau et l’évaluation de la vulnérabilité afin d’identifier les vulnérabilités sous différents angles d’attaque potentiels.
• OWASP – Vise à identifier les vulnérabilités au sein des applications Web et mobiles. Fournit plus de 66 contrôles à évaluer au total pour identifier les vulnérabilités potentielles au sein des fonctionnalités que l’on trouve aujourd’hui dans les applications modernes.
• PTES – Présente l’approche la plus recommandée pour structurer un test d’intrusion. Cette norme guide les testeurs sur les différentes étapes d’un pentest, y compris la communication initiale, la collecte d’informations, ainsi que les phases de modélisation de la menace.

En savoir plus sur les principales méthodologies et normes de test d’intrusion →