Comparatif
Audit de sécurité ou test d’intrusion : quelle différence ?
En résumé
Un audit de sécurité examine un système de l’intérieur, avec accès à la configuration, à l’architecture ou au code, pour recenser largement les défauts et les écarts. Un test d’intrusion adopte la position d’un attaquant et démontre ce qui est exploitable. L’audit répond à « qu’est-ce qui est mal configuré ou mal conçu ? », le test à « que peut obtenir un attaquant ? ». Un audit cloud démarre à 1 290 €, un test d’intrusion web à 1 490 €.
Sommaire : 5 sections
Ce que chaque option fait, et ce qu’elle ne fait pas
Examiner la configuration, la conception ou le code.
Audit de sécurité
L’analyste dispose d’un accès en lecture à la configuration, à l’architecture ou au code source. Il recense les défauts et les écarts à un référentiel, et cherche les chemins d’attaque qui en découlent.
- Prix
- À partir de 1 290 € pour un audit cloud, 1 900 € pour un audit de code et 2 400 € pour un audit d’infrastructure. Le prix monte avec le périmètre examiné.
- Durée
- 2 à 12 jours selon le périmètre
Ce que cela apporte
- Large : examine tout le périmètre, y compris ce qu’un attaquant n’atteindrait pas facilement.
- Trouve des défauts invisibles de l’extérieur : droits excessifs, secrets, dérive de configuration.
- Adapté aux référentiels : compare l’existant à une base de bonnes pratiques.
- Efficace sur les systèmes complexes, comme le cloud et les annuaires.
Ce que cela ne fait pas
- Peut recenser des défauts théoriques sans montrer s’ils sont exploitables.
- Demande des accès en lecture et une préparation de la part de vos équipes.
- Ne prouve pas à lui seul l’impact réel pour l’entreprise.
Démontrer ce qu’un attaquant obtient.
Test d’intrusion
L’analyste attaque le système sans connaissance privilégiée ou avec un profil utilisateur défini, et démontre les défauts par une exploitation contrôlée, avec requête, réponse et impact.
- Prix
- À partir de 1 490 € pour un test d’intrusion web sur un parcours critique, 1 290 € pour une API. Le prix monte avec le nombre de rôles et la surface.
- Durée
- 2 à 15 jours selon le périmètre
Ce que cela apporte
- Démontre l’impact : chaque constat est prouvé, donc difficile à contester ou à reporter.
- Enchaîne plusieurs défauts mineurs pour révéler un risque majeur.
- Trouve les défauts de contrôle d’accès et de logique métier qu’aucun recensement ne voit.
- Facile à expliquer à une direction ou à un client : on a obtenu telle donnée.
Ce que cela ne fait pas
- Moins large : ne voit que ce qui est atteignable par le chemin testé.
- Dépend du temps passé : un défaut non exploré n’apparaît pas.
- Un résultat « rien trouvé » ne prouve pas l’absence de défaut.
Un verdict par ligne
La colonne de droite tranche. Quand les deux options se valent, elle le dit : c’est un résultat à part entière.
| Critère | Audit de sécurité | Test d’intrusion | Avantage |
|---|---|---|---|
| Point de vue | De l’intérieur, avec accès à la configuration et au code. | De l’extérieur ou d’un profil utilisateur, comme un attaquant. | égal |
| Étendue de ce qui est examiné | Large, y compris ce qui est peu exposé. | Ciblée sur les chemins atteignables. | Audit de sécurité |
| Preuve d’exploitabilité | Variable : certains défauts restent théoriques. | Systématique : chaque constat est démontré. | Test d’intrusion |
| Contrôle d’accès et logique métier | Détectés si le code est relu avec soin. | Cœur du test, avec des comptes de plusieurs rôles. | Test d’intrusion |
| Défauts de configuration et de droits | Très bien couverts, avec accès en lecture. | Couverts seulement s’ils sont atteignables. | Audit de sécurité |
| Préparation côté client | Accès en lecture, documentation, interlocuteurs. | Comptes de test et environnement de recette. | égal |
| Persuasion auprès d’une direction ou d’un client | Une liste de défauts et d’écarts. | Une démonstration : tel accès, telle donnée obtenue. | Test d’intrusion |
Lequel dans votre situation
Prenez audit de sécurité si…
- Vous voulez recenser largement les défauts d’un environnement cloud ou d’un annuaire.
- Vous devez comparer votre configuration à un référentiel précis.
- Vous disposez du code source et voulez relire le module le plus sensible.
- Votre système est complexe et vous voulez comprendre les chemins de privilèges.
Prenez test d’intrusion si…
- Vous voulez savoir ce qu’un attaquant obtient sur une application ou une API.
- Il vous faut une preuve démontrée à présenter à un client ou à une direction.
- Vous craignez des défauts de contrôle d’accès ou de logique métier.
- Vous voulez tester vos défenses et votre détection en conditions réalistes.
Et si la réponse était « les deux » ?
Les deux se renforcent. L’audit donne la largeur et oriente les tests, le test d’intrusion donne la preuve et la priorité. Dans un projet complet, l’audit de configuration précède le test pour que l’analyste ne perde pas de temps sur des défauts connus, et le test vérifie ensuite que les chemins identifiés sont praticables. Un contre-test après correction ferme la boucle.
Ce qu’on nous demande ensuite
Le mot « audit » inclut-il un test d’intrusion ?
Parfois, mais pas toujours. « Audit de sécurité » désigne une famille de prestations : architecture, configuration, code source, test d’intrusion, organisation. Un prestataire peut appeler audit un travail purement documentaire. Demandez ce qui sera réellement fait, avec quels accès, et si les constats seront démontrés ou seulement recensés.
Que choisir avec un budget limité pour une application web ?
Un test d’intrusion sur le parcours le plus critique, par exemple l’authentification ou l’espace client, apporte en général davantage qu’un audit large et superficiel. Il démontre ce qu’un attaquant obtient là où le risque est le plus élevé. Si vous avez des doutes sur le code lui-même, ajoutez plus tard un audit ciblé du module le plus sensible.
Un audit suffit-il pour répondre à une demande de client ?
Cela dépend de la formulation de la demande. Si le client demande un rapport de test d’intrusion, un audit de configuration ne suffit pas, car il n’en contient pas les constats démontrés. Si le client demande une revue de sécurité ou de configuration, un audit peut répondre. Relisez l’exigence mot à mot avant de commander.
Prestations concernées
- PrestationAudit cloudDans le cloud, la plupart des incidents partent d’une mauvaise configuration.
- PrestationAudit de codeRetrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
- PrestationPentest webSavoir ce qu’un attaquant obtiendrait sur votre application.
- PrestationPentest interneSimuler ce qui se passe après l’ouverture de la première pièce jointe.
Autres arbitrages
- ComparatifScan ou pentest : le comparatifUn scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
- ComparatifBoîte noire ou boîte grise ?Un test sans aucune information ou avec comptes et documentation. La boîte grise donne plus de résultats par euro dépensé ; la boîte noire répond à une autre question. Quand choisir chacune.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début