Technique
Scan de vulnérabilités
Aussi appeléVulnerability scanScanner de vulnérabilitésAnalyse de vulnérabilités
En résumé
Une analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants. Rapide, répétable et peu coûteux, il couvre le connu mais ne comprend pas la logique de l’application ni ne démontre l’impact.
Scan de vulnérabilités, en détail
Un scanner interroge les systèmes cibles, identifie les services et leurs versions, puis recherche les correspondances dans une base de vulnérabilités. Il peut aussi tester des motifs d’attaque courants sur une application web. Sa force est la largeur : il vérifie des milliers de points sur des centaines d’actifs, à intervalles réguliers, et détecte les régressions de configuration ou les correctifs manquants.
Ses limites sont structurelles. Il produit des faux positifs, qu’il faut trier, et des faux négatifs, qu’on ne voit pas. Surtout, il ne sait pas ce que l’application est censée faire : un utilisateur qui lit les données d’un autre, une remise cumulée deux fois ou une étape de validation contournée ne laissent aucune trace reconnaissable dans une réponse technique. Il ne combine pas non plus les défauts mineurs en une compromission. Bien employé, le scan est une couche de surveillance continue et une première étape avant un test d’intrusion, dont il libère le temps humain pour les sujets qu’il ne traite pas. Il gagne à être authentifié, c’est-à-dire exécuté avec des comptes, pour voir au-delà de la page de connexion, et à être relié à un processus de correction avec des délais selon la criticité.
Qu’est-ce que cela change pour vous ?
Le scan est le bon outil pour surveiller un parc et tenir un niveau de correction. Il ne répond pas à la question de ce qu’un attaquant obtiendrait, et ne doit pas être présenté comme un test d’intrusion à un client ou à un auditeur.
Exemple illustratif (fictif)
Par exemple, un scan hebdomadaire sur le parc de serveurs d’une entreprise industrielle signale en quelques heures une version de service de transfert de fichiers non corrigée sur un serveur oublié, avant qu’elle ne soit exploitée.
La confusion fréquente
Confondre scan et test d’intrusion. Un rapport de scan, même détaillé, liste des défauts connus ; il ne démontre ni l’exploitation ni les failles de contrôle d’accès et de logique métier.
Comment le détecter chez vous ?
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
Aller plus loin
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- ConformitéCVSS : définitionUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact.
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début