Comparatif
Test d’intrusion interne ou externe : lequel choisir ?
En résumé
Un test d’intrusion externe se place dans la position d’un inconnu sur Internet et répond à « peut-on entrer ? ». Un test interne se place dans celle d’un attaquant déjà présent sur un poste ou d’un salarié malveillant, et répond à « jusqu’où peut-il aller ? ». Commencez par l’externe si vous avez des services exposés ou des applications publiques, à partir de 490 € pour un diagnostic de surface. Choisissez l’interne si un seul poste compromis suffirait à tout atteindre, à partir de 2 400 €.
Sommaire : 5 sections
Ce que chaque option fait, et ce qu’elle ne fait pas
Ce qu’un inconnu obtient depuis Internet.
Test d’intrusion externe
Le test part de la seule connaissance de votre organisation : domaines, applications web, API, messagerie, accès distants. Il répond à la question « un attaquant extérieur peut-il entrer, et par où ? ».
- Prix
- À partir de 490 € pour un diagnostic de surface externe, et de 1 490 € pour un test d’intrusion web sur un parcours critique. Le prix monte avec le nombre d’applications et de rôles.
- Durée
- 48 h ouvrées à 15 jours selon le périmètre
Ce que cela apporte
- Mesure l’exposition réelle depuis Internet, là où viennent les attaques opportunistes.
- Révèle les actifs oubliés : domaines, sous-domaines, serveurs de test, services mal fermés.
- Peut commencer très tôt, sans accès au réseau interne ni préparation lourde.
- Prix d’entrée bas et résultat rapide : un diagnostic de surface se livre en 48 h ouvrées après signature et autorisation écrite.
Ce que cela ne fait pas
- Ne dit pas ce qui se passe une fois la première barrière franchie ou un poste compromis.
- Ignore la voie la plus courante des rançongiciels : le message d’hameçonnage qui ouvre un poste interne.
- Peu informatif si la surface exposée est réduite et bien tenue.
Ce qu’un attaquant obtient une fois dans le réseau.
Test d’intrusion interne
Le test part d’un poste ou d’un compte utilisateur ordinaire à l’intérieur du réseau, comme après un hameçonnage réussi. Il répond à « jusqu’où peut-il monter, et que peut-il atteindre ? ».
- Prix
- À partir de 2 400 € pour un audit interne et Active Directory sur un domaine, avec un compte utilisateur standard. Le prix monte avec le nombre de sites et d’annuaires.
- Durée
- 3 à 4 jours pour le périmètre d’entrée
Ce que cela apporte
- Mesure la distance entre un compte ordinaire et l’administration du domaine.
- Couvre Active Directory, les partages, les sauvegardes et les comptes de service, que l’externe ne voit pas.
- Reproduit le scénario du rançongiciel : une fois entré, on cherche l’administration.
- Produit des corrections de configuration précises, qui réduisent l’exposition de façon durable.
Ce que cela ne fait pas
- Suppose un accès au réseau interne ou à un poste de test, donc une préparation plus lourde.
- Ne dit pas si un inconnu peut atteindre ce poste depuis Internet.
- Plus coûteux à l’entrée : l’analyse d’un domaine demande plusieurs jours.
Un verdict par ligne
La colonne de droite tranche. Quand les deux options se valent, elle le dit : c’est un résultat à part entière.
| Critère | Test d’intrusion externe | Test d’intrusion interne | Avantage |
|---|---|---|---|
| Question à laquelle il répond | Peut-on entrer depuis Internet ? | Jusqu’où va un attaquant déjà présent ? | égal |
| Prix et délai d’entrée | Faibles : diagnostic en 48 h ouvrées après signature et autorisation écrite. | Plus élevés : plusieurs jours d’analyse. | Test d’intrusion externe |
| Préparation demandée | Légère : un périmètre et une autorisation. | Un accès interne, un poste ou un compte de test. | Test d’intrusion externe |
| Représentativité du scénario rançongiciel | Partielle : suppose une faille directement exposée. | Forte : part d’un poste compromis, comme dans la majorité des cas. | Test d’intrusion interne |
| Découverte des actifs oubliés | Excellente : voit ce qui est publié sans être géré. | Limitée au périmètre interne connu. | Test d’intrusion externe |
| Visibilité sur Active Directory et les droits | Quasi nulle. | Cœur du test. | Test d’intrusion interne |
| Nature des corrections | Fermer des services, corriger des applications, retirer des actifs. | Revoir des droits, des comptes, des protocoles et des sauvegardes. | égal |
| Intérêt si la surface exposée est réduite | Limité : peu de choses à trouver. | Entier : le risque se joue à l’intérieur. | Test d’intrusion interne |
Lequel dans votre situation
Prenez test d’intrusion externe si…
- Vous exposez des applications, des API ou des accès distants à Internet.
- Vous ne savez pas exactement ce qui est visible de l’extérieur.
- Vous voulez un premier résultat rapide et à faible coût.
- Un client ou un questionnaire de sécurité demande un test de la surface exposée.
Prenez test d’intrusion interne si…
- Un seul poste compromis par hameçonnage vous inquiète plus qu’une faille exposée.
- Votre annuaire Active Directory a plus de quelques années et n’a jamais été audité.
- Vous craignez un rançongiciel et voulez savoir si vos sauvegardes sont atteignables.
- Votre surface exposée est déjà bien tenue et le risque restant se situe à l’intérieur.
Et si la réponse était « les deux » ?
Les deux ne sont pas concurrents : ils couvrent les deux moitiés d’une même attaque. L’externe mesure la porte d’entrée, l’interne mesure ce qui se passe une fois dedans. Si le budget impose de choisir, commencez par l’externe quand la surface est inconnue, et par l’interne quand elle est déjà tenue. Dans les deux cas, un contre-test après correction confirme que les chemins sont fermés.
Ce qu’on nous demande ensuite
Quel est le test d’intrusion le plus urgent pour une PME ?
Si vous ne savez pas ce qui est visible depuis Internet, commencez par l’externe : il est rapide, peu coûteux et révèle les actifs oubliés. Si votre surface exposée est déjà maîtrisée et que votre crainte principale est le rançongiciel, l’interne apporte davantage. En cas de doute, un diagnostic de surface externe de 48 h ouvrées lève l’incertitude avant de choisir.
Un test interne nécessite-t-il un accès physique à nos locaux ?
Pas forcément. Le test peut se faire à distance, depuis un poste que vous mettez à disposition ou via un accès sécurisé au réseau interne, avec un compte utilisateur standard. Un accès physique n’est utile que si l’on veut aussi tester les prises réseau, les salles accessibles ou les équipements laissés sans surveillance, ce qui se décide au cadrage.
Le test externe couvre-t-il l’hameçonnage de nos salariés ?
Non, par défaut. Un test externe cible vos services exposés, pas vos salariés. L’hameçonnage est une campagne distincte, qui relève de la sensibilisation ou d’une mission de red team, avec un scénario validé et un cadre écrit. Si vous voulez mesurer ce vecteur, précisez-le au cadrage pour qu’il soit couvert explicitement.
Prestations concernées
- PrestationPentest webSavoir ce qu’un attaquant obtiendrait sur votre application.
- PrestationPentest interneSimuler ce qui se passe après l’ouverture de la première pièce jointe.
- PrestationDurcissementAprès le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
Autres arbitrages
- ComparatifBoîte noire ou boîte grise ?Un test sans aucune information ou avec comptes et documentation. La boîte grise donne plus de résultats par euro dépensé ; la boîte noire répond à une autre question. Quand choisir chacune.
- ComparatifAudit de sécurité ou pentestUn audit de sécurité examine configuration, architecture ou code pour trouver des défauts ; un test d’intrusion démontre ce qu’un attaquant obtient. Différences, prix d’entrée et situations types.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début