Foire aux Questions sur les
Tests d'Intrusion (FAQ)

Un test d’intrusion est une tentative de piratage simulée qui identifie les possibilités pour de vrais pirates de percer vos défenses et de réaliser divers actes malveillants. Il exploite généralement les outils utilisés par les pirates et diverses méthodologies professionnelles pour reproduire les étapes que les pirates modernes suivraient pour s’introduire dans vos systèmes informatiques.

Un pentest tente d’exploiter vos vulnérabilités pour déterminer leur impact potentiel, si elles sont utilisées dans un véritable scénario de piratage. Ils fournissent une liste des vulnérabilités avec leur niveau de gravité respectif, ainsi que des recommandations techniques pour aider votre équipe à appliquer des mesures correctives et à se concentrer sur les vulnérabilités les plus critiques.

Ces services permettent à votre organisation de répondre aux questions suivantes, parmi plusieurs autres :

• Un pirate peut-il avoir accès à des informations sensibles ?
• Un pirate peut-il détourner mes technologies pour des actes malveillants ?
• Une infection par un logiciel malveillant pourrait-elle se propager sur le réseau ?
• Un attaquant peut-il escalader l’accès à un utilisateur administratif ?

Les tests d’intrusion peuvent être réalisés avec diverses intentions et permettre d’atteindre divers objectifs. Qu’il s’agisse de répondre aux exigences de tiers, d’établir des partenariats commerciaux ou de tester une nouvelle fonctionnalité dans le cadre d’un cycle de développement, ils peuvent servir plusieurs objectifs.

Voici quelques-unes des principales raisons d’effectuer un test d’intrusion :

• Se conformer aux exigences qui imposent des tests de sécurité. (tierce partie, PCI, ISO27001, etc.)
• Identifiez les vulnérabilités et obtenez une liste de correctifs classés par ordre de priorité.
• Protéger les données et les systèmes contre les agresseurs.
• Adoptez le point de vue d’un hacker.
• Prévenir les pertes financières

Apprenez-en plus sur les raisons pour lesquelles vous devriez effectuer un pentest →

Le prix d’un test d’intrusionpeut varier considérablement en fonction de plusieurs facteurs. Pour cette raison, il n’y a pas de tranche de prix établie pour ce type d’évaluation. Chaque projet est adapté à vos objectifs et à votre environnement technologique. De nombreux facteurs doivent être déterminés avant de pouvoir établir le coût.

Voici les principaux facteurs qui peuvent affecter le coût d’un test d’intrusion :

• Portée du projet. (Nb. d’IP ciblées, Nb. de fonctionnalités dans l’application, etc.)
• Effectué dans un environnement de production ou de développement.
• Type de test. (réseau, application, SCADA, etc.)
• Approche de test. (Approche automatisée ou manuelle)
• Objectifs. (conformité, meilleures pratiques, etc.)

Découvrez les principaux facteurs qui déterminent le coût d’un test d’intrusion.

Il existe de nombreux contextes dans lesquels un test d’intrusiondoit être effectué.

Voici quelques cas d’utilisation courante d’un pentest :

• Dans le cadre du cycle de développement d’une application. (Pour tester la sécurité d’une nouvelle fonctionnalité/application)
• Pour se conformer aux exigences de sécurité. (tierces parties, PCI, ISO27001, etc.)
• Pour sécuriser les données sensibles contre l’exfiltration.
• Pour éviter les infections par des logiciels malveillants. (Ransomware, spyware, etc.)
• Pour prévenir les cyberattaques perturbatrices. (comme le déni de service)
• Dans le cadre d’une stratégie de gestion du risque de cybersécurité.

Il est conseillé à toutes les entreprises de réaliser un test d’intrusionau moins une fois par an, ainsi qu’après toute mise à niveau ou modification importante du réseau de l’entreprise. Étant donné la rapidité avec laquelle de nouveaux exploits sont découverts, nous recommandons généralement d’effectuer des tests trimestriels.

Le temps nécessaire à l’exécution réussie d’un test d’intrusiondépend de la portée et du type de test. La plupart des tests d’intrusion peuvent être réalisés en quelques jours, mais certains peuvent s’étendre sur plusieurs semaines, voire plusieurs mois, selon la complexité du projet.

Les évaluations de vulnérabilité et les tests d’intrusion sont les techniques les plus courantes pour découvrir et corriger les failles de cybersécurité dans vos technologies. Bien que certaines similitudes existent entre les deux, elles sont souvent interprétées à tort comme une seule et même chose, alors qu’elles donnent lieu à des degrés d’analyse très différents.

Les scanners de vulnérabilité sont généralement utilisés par le personnel informatique afin de vérifier les infrastructures de réseau pour détecter les vulnérabilités connues qui ont pu être introduites lors de leur mise en œuvre. Les tests d’intrusion, en revanche, identifient les vulnérabilités bien documentées, ainsi que celles qui n’ont jamais été vues auparavant, tout en fournissant des preuves de leur impact potentiel sur votre entreprise.

En savoir plus sur les principales différences entre les scans de vulnérabilité et les tests d’intrusion →

Comme pour le point précédent, les tests automatisés (connus sous le nom de scanners de vulnérabilité ou d’évaluations de vulnérabilité) permettent aux équipes informatiques d’identifier les mauvaises configurations potentielles et les vulnérabilités connues dans les versions de leurs logiciels, systèmes d’exploitation et technologies.

Bien que les tests automatisés soient rentables et nécessitent moins d’expertise, ils n’offrent pas le même niveau d’analyse et ne peuvent pas identifier les vulnérabilités complexes (telles que les failles logiques des applications ou les vulnérabilités des environnements personnalisés). Les tests automatisés peuvent également causer des dommages à vos systèmes et polluer vos bases de données. Leur utilisation doit donc être limitée, complémentaire aux tests manuels, et ils doivent être réalisés par des professionnels expérimentés pour limiter leur impact négatif.

Les tests manuels, au contraire, exigent beaucoup plus d’expertise et une compréhension approfondie des différents contextes technologiques. Ils permettent à votre organisation de contextualiser ses vulnérabilités et de fournir des preuves de leur impact potentiel sur votre entreprise. Ils peuvent identifier les vulnérabilités les plus subtiles qui pourraient avoir un impact critique, que les tests automatisés ne peuvent pas identifier, en causant le moins de dommages possible à vos systèmes.

Il existe plusieurs méthodologies et normes reconnues en matière de tests d’intrusion qui peuvent être utilisées en fonction du type d’évaluation. Voici quelques-unes des méthodologies les plus reconnues :

• OSSTMM – Fournit une méthodologie scientifique pour les tests d’intrusion des réseaux et l’évaluation de la vulnérabilité afin d’identifier les vulnérabilités à partir de divers angles d’attaque potentiels.
• OWASP – Vise à identifier les vulnérabilités des applications Web et mobiles. Fournit plus de 66 contrôles à évaluer au total pour identifier les vulnérabilités potentielles au sein des fonctionnalités que l’on trouve aujourd’hui dans les applications modernes.
• PTES – Met en évidence l’approche la plus recommandée pour structurer un test d’intrusion. Cette norme guide les testeurs dans les différentes étapes d’un test d’intrusion, notamment la communication initiale, la collecte d’informations, ainsi que les phases de modélisation des menaces.

Apprenez-en plus sur les principales méthodologies et normes de tests d’intrusion →