Méthode
Rapport de test d’intrusion
Aussi appeléRapport de pentestRapport d’audit
En résumé
Le document livré à l’issue d’un test d’intrusion : synthèse de direction, périmètre et méthode, et pour chaque constat une description, une preuve reproductible, l’impact démontré, une gravité justifiée et une recommandation. Il précise aussi ce qui n’a pas été testé.
Rapport de test d’intrusion, en détail
Le rapport est le pont entre la découverte d’un défaut et sa correction. Une fiche utile permet à un développeur qui n’a pas assisté à la mission de reproduire le défaut, de comprendre l’impact et de savoir quoi corriger. Les constats sont classés par gravité et regroupés dans un plan de correction priorisé.
Un rapport sans requête, sans réponse obtenue et sans impact démontré est un rapport de scan. La gravité, souvent exprimée par un score CVSS : définition, décrit le défaut en lui-même : un bon rapport l’ajuste au contexte et présente comme un constat grave les défauts faibles qui s’enchaînent. Après correction, un contre-test confirme l’état de chaque constat.
Un rapport se lit à plusieurs niveaux. La synthèse de direction tient en une ou deux pages et dit ce qu’un attaquant a obtenu, en termes d’activité plutôt que de technique. Les fiches de constat s’adressent aux équipes qui corrigent. Les annexes décrivent la méthode, le périmètre, les dates et les limites : ce qui n’a pas été testé y figure aussi. Comme il décrit des défauts parfois encore ouverts, le rapport complet circule peu. À un client ou à un assureur, on transmet de préférence une synthèse ou une attestation datée, qui précise le périmètre et l’état des corrections.
Qu’est-ce que cela change pour vous ?
Le rapport sert aussi à la direction, aux clients et aux assureurs. Il doit être lisible à plusieurs niveaux, sans exagérer ce qu’il prouve.
Exemple illustratif (fictif)
Imaginons deux rapports qui décrivent la même faille d’accès aux données d’un autre client. Le premier indique « contrôle d’accès insuffisant, criticité élevée ». Le second donne la requête exacte, la réponse obtenue, l’impact chiffré en nombre de comptes exposés et la correction attendue côté serveur. Seul le second permet à l’équipe de corriger, puis de vérifier.
La confusion fréquente
Juger un rapport à son volume. Deux cents lignes de niveau « information » valent moins qu’un constat démontré.
Quelles prestations s’appuient sur ce terme ?
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
- Pentest API : la prestationLes API portent les données et moins de garde-fous que les interfaces.
Aller plus loin
- ArticleQue doit contenir un rapport de test d’intrusion ?Les éléments qu’un rapport de test d’intrusion doit contenir pour être utile : synthèse, périmètre, preuves reproductibles, gravité justifiée, recommandations et limites. Grille de vérification.
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- ConformitéCVSS : définitionUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- MéthodeAudit de sécurité informatique : définitionUne évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début