Qu'est-ce que les tests d'intrusion ? Guide complet du piratage éthique
%20(1).png)
DPO Consulting Rejoint Grant Thornton
Sommaire :
Un test d’intrusion simule une attaque contre un système informatique, afin d’évaluer ses vulnérabilités.
Test d’intrusion : qu’est-ce que c’est ?
Il s’agit d’un audit de conformité en matière de cybersécurité qui repère les failles du système en les attaquant. Cette technique est également appelée pentest. Elle est effectuée par des pentesters, ou hackers éthiques qui imitent des hackers hostiles. Elle permet d’évaluer la sécurité d’un système informatique, d’un réseau ou d’une application web.
Grâce à ce procédé, il est possible d’évaluer et d’analyser les risques :
Pentest définition : c’est une prestation sur mesure qui permet d’évaluer la sécurité de votre système informatique et de combler ses failles. Sa durée et son prix varient selon la cible, le périmètre des tests et les objectifs.
Il dépend de normes et standards de sécurité définis par l’Open Worldwide Application Security Project (OWASP) et le Penetration Testing Execution Standard (PTES).
Le rapport pentest se conclut par des recommandations pour améliorer votre sécurité.
Les tests d’intrusion ont deux objectifs :
Les tests d’intrusion permettent de découvrir les vulnérabilités et de les supprimer avant qu’un véritable pirate ne s’en serve à mauvais escient. L’entreprise prend ainsi conscience des risques réels, et des pertes qu’elle pourrait subir, parmi lesquels :
Une formation pentest permet de protéger les données sensibles, d’évaluer la facilité d’accès aux données et de renforcer la sécurité générale des informations.
Les tests d’intrusion concernent toutes les entreprises qui collectent les informations de leurs clients, partenaires et investisseurs. Un rapport pentest est le seul moyen de répondre à leurs exigences de sécurité.
Effectuer un pentest est un gros avantage pour les startups et les PME : c’est une exigence des grands comptes pour collaborer. Si vous n’effectuez pas de pentest, vous perdez des clients.
Si vous travaillez dans une grande entreprise, il est d’autant plus important d’effectuer une formation pentest. Il s’agit d’une des conditions pour que vos clients vous fassent confiance. Si vous récoltez des informations personnelles, vous devez vous assurer qu’elles sont en sécurité.
Les secteurs réglementés manipulent des données sensibles, ce qui en fait non seulement des cibles privilégiées des pirates, mais aussi des organisations qui ont beaucoup à perdre en cas d’attaque. C’est pour cela qu’il est primordial d’effectuer des tests d’intrusion au moins une fois par an.
Les organisations axées sur le cloud ont plus de risques d’exposer involontairement des données. Cela peut par exemple arriver lors de la configuration d’un stockage ou d’une API. Un test d’intrusion permet de tester et de combler les éventuelles failles de sécurité.
Il existe différents types de systèmes et d’attaques, et donc différents types de tests.
Test d’intrusion web : il analyse les applications et les API, avec un intérêt pour la configuration des infrastructures, notamment les serveurs et les environnements cloud.
Toutes les applications, plateformes et technologies peuvent être testées.
Sur les applications mobiles, le test d’intrusion consiste en une analyse statique (métadonnées et code source) et une analyse dynamique (recherche de vulnérabilités lors de l’utilisation de l’application).
Ce test peut être effectué en autonomie ou en parallèle d’un audit de sécurité sur l’application web ou mobile. Pour la seconde option, l’intérêt sera porté sur cette interface.
Test d’intrusion réseau : il permet de tester l’infrastructure réseau interne d’une organisation ainsi que les serveurs internes, les équipements, les protocoles et l’Active Directory. Par rapport à ce dernier point, les vulnérabilités inclues :
Ces défauts peuvent entraîner la fuite de données sensibles ou la perte du contrôle du domaine.
Pentest définition : les tests d’intrusion des environnements cloud analysent les configurations des systèmes. Ils se chargent également de la gestion des accès et de la sécurité des services.
Les tests d’intrusion des réseaux sans fil permettent de tester les réseaux Wi-Fi. Les vulnérabilités sont évaluées, notamment les mots de passe et les risques d’accès non autorisés. Ce test s’effectue en boîte noire ou grise.
Ces tests d’intrusion se focalisent sur les objets connectés et leur infrastructure. Les composants matériels, logiciels embarqués et communications réseau sont évalués.
Grâce à ces tests, il est possible de savoir si les données peuvent être interceptées, les dispositifs manipulés ou les systèmes compromis.
En contournant les contrôles techniques et en exploitant les comportements humains, il est parfois possible d’obtenir des informations sensibles. Les pirates utilisent le phishing (envoi d’un email mensonger), le vishing (phishing mais par appel téléphonique) ou l’intrusion physique.
Le test par ingénierie sociale se concentre sur les faiblesses humaines. Une de ses composantes est la sensibilisation des employés aux risques de sécurité.
Il existe trois approches des tests d’intrusion :
En boîte noire, le testeur simule l’attaque d’un attaquant externe. Les vulnérabilités sont évaluées en utilisant uniquement des informations externes.
En boîte grise, le testeur simule la présence d’un attaquant ayant été informé du fonctionnement des systèmes dans une certaine mesure.
En boîte blanche, le testeur analyse comment les composants du système interagissent et les failles engendrées.
Test d’intrusion : il se déroule de la même façon que l’attaque d’un pirate.
La première étape est de définir le périmètre du test et ses objectifs. Cela se fait grâce à une communication entre le client et le testeur. Ils signent l’autorisation légale au même moment.
Le testeur procède ensuite à une collecte d’informations. Cette collecte est plus ou moins complète en fonction du test à effectuer : en boîte noire, grise ou blanche. La surface d’attaque est cartographiée, et il recueille des informations telles que les adresses IP, les noms de domaine et les technologies utilisées.
Cette recherche est d’abord passive (informations publiques : réseaux sociaux, moteurs de recherche, code source exposé) puis active (scan des ports et services, détection du système d’exploitation et des technologies).
Le testeur doit ensuite découvrir les vulnérabilités. Pour cela, il effectue un scan qui détecte les failles connues. Il est complété par une analyse manuelle pour repérer les erreurs de configuration et les failles logiques.
Le testeur va essayer d’exploiter toutes les vulnérabilités qu’il trouvera. Son but est de simuler une véritable attaque des systèmes, et donc de tester si un pirate pourrait accéder au système. Pour cela, il va effectuer :
Pour finir, il accède aux données sensibles et aux systèmes critiques.
Le testeur analyse le danger dans lequel se trouvent les données : lesquelles pourraient fuiter et être volées par des pirates ?
Il identifie des failles qui sont indétectables par les outils automatisés :
Après avoir effectué le test, le testeur consigne son action dans un rapport pentest. Il recommande les mesures à prendre et décrit les risques encourus.
Le rapport final est l’étape la plus importante pour les entreprises. Il contient un détail technique, la liste des failles identifiées et des solutions pour y remédier.
Le rapport inclut généralement :
Les testeurs utilisent plusieurs outils pour les tests d’intrusion, parmi lesquels 5 sont détaillés ci-dessous.
Burp Suite est l’outil de référence pour intercepter ou modifier des requêtes entre le navigateur et le serveur web. Il est spécialisé dans les tests d’applications web, car il offre entre autres un proxy web.
Il s’agit d’un outil modulaire : les extensions peuvent être téléchargées dans le catalogue. Il est apprécié pour son ergonomie et pour sa communauté active.
Nmap sert à cartographier la surface d’attaque. Les pentesters s’en servent lors de l’établissement du périmètre. Il est particulièrement utile pour les tests d’intrusion réseau.
Metasploit est utilisé après que le périmètre a été établi et que les failles ont été repérées. Il exploite les vulnérabilités dans un procédé automatisé.
Nessus est un scanner de vulnérabilité. Il identifie les failles de sécurité dans le hardware, les applications web et les infrastructures cloud. C’est une option polyvalente car compatible avec de nombreux systèmes d’exploitation.
SQLMap est un outil open source. Son objectif est de détecter et d’exploiter les vulnérabilités d’injection SQL. Le processus est automatisé pour gagner du temps.
Il possède de nombreuses fonctionnalités avancées, parmi lesquelles :
Les pentesters suivent différentes normes pour harmoniser et structurer les audits de sécurité. Les trois principales méthodologies sont données par :
L’OWASP est une fondation à but non lucratif qui fournit des ressources, des outils et des méthodologies pour sécuriser les applications web. Son Top 10 est une liste des vulnérabilités les plus critiques, ce qui permet de les identifier et de les hiérarchiser plus facilement.
Le PTES encadre les tests d’intrusion avec une méthodologie pour toutes les étapes du test. Les tests sont systématiques, reproductibles et de bonne qualité.
Le NIST est une agence américaine développant des directives en matière de cybersécurité. Le NIST Cybersecurity Framework indique les pratiques à suivre pour évaluer la sécurité des systèmes d’information et l’améliorer.
DPO Consulting est un expert en gouvernance de la cybersécurité. Vous transmettez des informations importantes aux pentesters : vous devez donc pouvoir être sûr de leur faire confiance et de recevoir un rapport fiable et juste. Dans le cas de DPO Consulting, vous confiez vos données à des professionnels avec plus de 10 ans d’expérience.
Non seulement les experts vous aideront à sécuriser vos données et à rentrer dans les normes, mais ils le feront rapidement, ce qui vous évitera de perdre du temps.
Pour identifier les vulnérabilités de votre système de sécurité, vous avez le choix entre un pentest de premier niveau (basé sur le Top 10 de l'OWASP) et un pentest global. Chaque faille de sécurité apparaît dans le rapport, avec des solutions pour y remédier.
Si vous désirez obtenir plus d’informations sur leurs méthodes, prenez rendez-vous avec un expert.
Il faut effectuer un test complet au moins une fois par an et après chaque changement majeur.
Oui, selon les exigences du RGPD.
Les entreprises doivent définir le périmètre à tester et les objectifs du test.
Après avoir reçu un rapport, il faut remédier aux failles de sécurité qui ont été dévoilées par le pentester.
Cela dépend des vulnérabilités et de leur importance, mais cela peut prendre de quelques jours à quelques semaines.
Oui, afin de vérifier que les changements n’ont pas créé de failles de sécurité.
.svg)
_FR%20(1).png)
.png)
