Test d'intrusion (pentest)
Attaque simulée et autorisée, menée par des auditeurs, pour trouver les failles exploitables d'un site, d'un réseau ou d'une application.
Définition complète
Un test d'intrusion (penetration test ou pentest) consiste à faire attaquer, avec autorisation et dans un cadre défini, un système de l'entreprise par des auditeurs qui utilisent les techniques des attaquants. L'objectif est de découvrir les vulnérabilités réellement exploitables et d'en mesurer les conséquences.
Le périmètre est fixé à l'avance : test externe (ce qui est visible depuis Internet), interne (ce qu'un attaquant pourrait faire une fois dans le réseau), application web ou mobile, API, Wi-Fi, Active Directory. Le test peut être mené sans information (boîte noire), avec des informations partielles (boîte grise) ou complètes (boîte blanche). Il se conclut par un rapport qui classe les failles et propose des corrections.
L'ANSSI qualifie des prestataires d'audit de la sécurité des systèmes d'information (PASSI), dont les activités couvrent notamment les tests d'intrusion. Leur référentiel impose de convenir d'un cadre avec le client et de le prévenir avant toute action risquant de perturber le service.
Sources : ANSSI, Prestataires qualifiés et labellisés (PASSI) ; ANSSI, Panorama des métiers de la cybersécurité
Exemple concret
Une start-up de 20 personnes édite un logiciel de paie en ligne. Avant de signer un contrat avec un grand groupe, elle commande un pentest de son application. Les auditeurs découvrent qu'en modifiant un identifiant dans l'adresse web, un client peut consulter les bulletins de paie d'une autre entreprise. La faille est corrigée, un second test le confirme, et le rapport de contre-audit est remis au client.
Comment se protéger
- Définir précisément le périmètre, les dates et les limites dans une convention signée
- Commencer par l'exposition externe : site, messagerie, accès distants
- Privilégier un prestataire qualifié PASSI ou à la méthodologie documentée
- Prévenir l'hébergeur ou l'infogérant avant le test
- Corriger en priorité les failles critiques et faire vérifier les corrections
- Renouveler le test après chaque évolution majeure et au moins une fois par an sur les systèmes exposés
Questions fréquentes
Le scan est automatisé et liste des failles potentielles. Le pentest est mené par des humains qui vérifient si ces failles sont exploitables et jusqu'où elles mènent.
Le risque existe, surtout sur des systèmes fragiles. Il se limite en fixant un cadre, des horaires et un contact permanent, ce que prévoit le référentiel PASSI.
Le pentest cherche un maximum de failles sur un périmètre défini. La red team simule une attaque ciblée de bout en bout, sur la durée, pour tester aussi la détection et la réaction.
Termes liés
Durcissement (hardening)
Configuration d'un système pour supprimer tout ce qui est inutile et activer les protections, afin de réduire les possibilités d'attaque.
Gestion des correctifs (patch management)
Processus qui identifie, priorise, installe et vérifie les mises à jour de sécurité sur tous les logiciels et équipements.
Red team
Équipe qui simule une attaque réaliste et ciblée, sur la durée, pour éprouver la prévention, la détection et la réaction d'une organisation.
Surface d'attaque
Ensemble des points par lesquels un attaquant peut tenter d'entrer dans le système d'information ou d'en extraire des données.
Vous avez besoin d'un expert en Test d'intrusion (pentest) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.