Méthode
Compromission supposée
Aussi appeléAssumed breachAssume breachPostulat de compromission
En résumé
Une approche de test de sécurité qui part de l’hypothèse qu’un attaquant a déjà pris pied à l’intérieur du réseau, sur un poste de travail ou avec un compte utilisateur, et cherche jusqu’où il peut aller. Elle remplace la question « peut-on entrer ? » par « que se passe-t-il une fois qu’il est entré ? ».
Compromission supposée, en détail
Le principe, connu en anglais sous le nom d’assumed breach, découle d’un constat : les barrières périmétriques finissent par céder, par hameçonnage : définition, par réutilisation de mot de passe ou par un poste volé. Plutôt que de consacrer des jours de test à chercher une entrée qui existe sans doute, on fournit le point d’appui et on dépense le temps sur ce qui détermine la gravité réelle : l’élévation de privilèges : définition, le déplacement latéral : définition, l’atteinte des données sensibles et la détection.
Le point de départ peut être un ordinateur portable standard de l’entreprise, un compte sans droit particulier, un accès VPN ou une session distante. Les objectifs sont fixés à l’avance : administrer le domaine, lire une boîte aux lettres, atteindre un serveur de fichiers. Selon le cas, l’équipe de sécurité est prévenue ou non, ce qui permet d’observer aussi ce qu’elle détecte. La démarche se distingue de la mission red team par sa durée courte et l’absence de recherche de discrétion, et du test externe par son point de départ. Elle prolonge les mesures contre l’hameçonnage plutôt qu’elle ne les remplace.
Qu’est-ce que cela change pour vous ?
Elle mesure le dégât possible d’un incident déjà probable : en combien de temps un compte ordinaire mène à l’administration, et quel maillon couper en premier. Elle oriente l’investissement vers la segmentation, les comptes d’administration et la détection.
Exemple illustratif (fictif)
Imaginons qu’un compte standard soit confié à l’équipe de test. En une demi-journée, un mot de passe lisible dans un script de connexion pourrait donner accès à un compte de service, dont les droits mènent à un serveur de fichiers des ressources humaines. Le rapport proposerait de supprimer le script et de réduire les droits du compte, deux corrections qui coupent le chemin.
La confusion fréquente
Croire qu’une compromission supposée dispense d’un test externe. Les deux répondent à des questions différentes : le premier ignore comment l’attaquant arrive, le second ignore ce qu’il fait ensuite.
Quelles prestations s’appuient sur ce terme ?
- Pentest post-compromission : la prestationSavoir jusqu’où va un attaquant qui a déjà un pied chez vous.
- Audit Active Directory : la prestationSavoir qui peut devenir administrateur du domaine, et par quel chemin.
Aller plus loin
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
- AttaqueÉlévation de privilèges : définitionL’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale).
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début