Méthode
Test d’intrusion
Aussi appeléPentestPenetration testAudit d’intrusion
En résumé
Une simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini. Elle combine outils et raisonnement humain et se conclut par un rapport de constats reproductibles, hiérarchisés et assortis de corrections.
Test d’intrusion, en détail
Un test d’intrusion se déroule dans un cadre contractuel : périmètre, dates, règles d’engagement, personnes à prévenir en cas d’incident. Il suit en général quatre phases : reconnaissance, identification des points d’entrée, exploitation pour démontrer l’impact, puis restitution. La preuve est l’élément central : chaque constat s’appuie sur une requête, une réponse et un impact démontrés, qu’une équipe de développement peut rejouer pour vérifier le correctif.
Sa valeur tient à la part de raisonnement humain. Les outils couvrent le connu, mais un analyste combine des défauts faibles en une compromission, teste les contrôles d’accès entre rôles et organisations, et détourne la logique métier. C’est ce qui le distingue d’un scan de vulnérabilités, qui liste des défauts connus sans démontrer ce qu’ils permettent d’obtenir. Le périmètre et le niveau d’information fourni (boîte noire, grise ou blanche) déterminent la profondeur obtenue pour un budget donné. Un bon rapport hiérarchise les constats par impact réel, indique une correction par constat, et prévoit une vérification après correction. Les rapports sont à traiter comme des documents confidentiels.
Qu’est-ce que cela change pour vous ?
Un test d’intrusion répond à la question « que peut obtenir un attaquant sur ce périmètre ? », pas à « le système est-il sûr ? ». Il atteste d’un état à une date donnée ; la fréquence doit suivre les évolutions de l’application.
Exemple illustratif (fictif)
Imaginons une plateforme SaaS multi-locataires, avant son ouverture à un grand client. Un test en boîte grise avec deux comptes dans deux organisations pourrait démontrer la lecture de données inter-clients par une API, constat qu’aucun scanner ne remonterait.
La confusion fréquente
Confondre test d’intrusion et scan de vulnérabilités. Un rapport sans requête, sans réponse et sans impact démontré est un rapport de scan, quel que soit le nom de la prestation.
Quelles prestations s’appuient sur ce terme ?
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
- Pentest API : la prestationLes API portent les données et moins de garde-fous que les interfaces.
Aller plus loin
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ArticleCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- MéthodeBoîte noire, grise ou blanche : définitionLes trois niveaux d’information fournis aux testeurs avant une mission : aucun (boîte noire), des comptes et de la documentation (boîte grise), ou l’accès complet au code et à l’architecture (boîte blanche).
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
- MéthodeAudit de sécurité informatique : définitionUne évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début