Reconmind, accueil
Cadrage gratuit

Équipes techniques, CTO et responsables de production

Pour une équipe technique : des constats que vous pouvez rejouer tels quels

En résumé

Pour une équipe technique, l’intérêt d’une mission tient à une seule chose : la qualité des constats. Chaque vulnérabilité remontée par Reconmind est accompagnée de la requête émise, de la réponse obtenue et des conditions exactes de reproduction, de sorte qu’un développeur rejoue le cas sans réunion préalable. Le correctif proposé vise la cause, par exemple un filtre dans la couche d’accès aux données plutôt qu’un patch sur un point d’entrée. Ce qui n’a pas pu être reproduit ne figure pas dans la liste des vulnérabilités, ce qui supprime le travail de requalification des faux positifs.

Si vous vous reconnaissez dans l’un de ces points

Ce sont les quatre situations dans lesquelles on nous appelle. Si aucune ne correspond, dites-le nous : il est possible que vous n’ayez pas besoin de nous tout de suite.

  • Vous avez déjà perdu des jours à requalifier un rapport rempli de constats automatiques sans preuve, dont la moitié ne s’appliquait pas à votre architecture.

  • Vous voulez un interlocuteur capable de discuter de votre code et de votre modèle d’autorisation, pas un commercial qui relaie des questions.

  • Vous avez besoin que la correction soit vérifiée, parce qu’un correctif posé sous pression crée souvent le défaut suivant.

  • Vous intégrez déjà des contrôles dans votre chaîne de livraison et vous cherchez ce qui manque, sans doublon avec l’existant.

Exprimé dans vos termes

01

Une fiche par vulnérabilité, rejouable telle quelle

Requête exacte, en-têtes, corps, réponse obtenue, et le compte utilisé. Pas de capture d’écran floue ni de « un attaquant pourrait ». Si le cas ne se rejoue pas chez vous, dites-le nous : nous le reprenons, c’est notre travail.

02

Le correctif au niveau de la cause

Un défaut de contrôle d’accès sur six points d’entrée traduit un défaut d’architecture d’autorisation, qui se corrige une seule fois. Nous écrivons la correction là où elle règle la classe de problème, et nous signalons les autres endroits où le même motif se retrouve.

03

Une restitution orale, comprise dans la mission

Une session de questions-réponses avec vos développeurs et vos ops, sur le rapport, les cas limites et les arbitrages de correction. C’est souvent la partie la plus utile de la mission, et elle n’est pas facturée en supplément.

04

Une passe de vérification après vos correctifs

Dans les trois mois, nous rejouons les cas corrigés et nous vérifions que le correctif n’a pas déplacé le problème. Le résultat est écrit, y compris quand un correctif est incomplet.

Les questions que vous allez poser, et nos réponses

Elles nous sont posées à presque chaque cadrage. Les écrire ici fait gagner un rendez-vous à tout le monde.

Nous avons des analyses statiques et des dépendances surveillées dans la CI. Que reste-t-il ?

Ce qui coûte le plus cher, en général. L’analyse statique voit le code mais ignore l’état d’exécution, les sessions et les droits réels ; la surveillance des dépendances voit les versions mais pas l’usage. Restent les défauts de contrôle d’accès entre deux identités réelles, les abus de logique métier, les conditions de course sur un solde, et le chaînage. Ce sont nos cibles prioritaires, parce que vos outils ne les atteignent pas.

Pouvez-vous travailler sur un environnement de recette ?

C’est même la situation préférable, à condition que la recette soit représentative : mêmes règles d’autorisation, mêmes intégrations, jeu de données réaliste. Une recette où tout le monde est administrateur ne permet pas de tester le contrôle d’accès, qui est la catégorie la plus rentable à tester. Nous le vérifions au cadrage et nous le disons si l’environnement ne convient pas.

Vous demandez des comptes de test. Pourquoi, si un attaquant n’en a pas ?

Parce que la boîte grise donne plus de résultats par euro dépensé. Un attaquant réel disposera de temps que votre budget ne couvre pas : il créera un compte, l’achètera, ou passera par un partenaire. Partir sans identifiants revient à payer des jours d’analyste pour franchir une porte que l’attaquant franchira de toute façon, au lieu de chercher ce qu’il y a derrière.

Et si nous ne sommes pas d’accord avec une gravité annoncée ?

Nous en discutons et nous ajustons quand votre contexte le justifie : vous connaissez votre exposition mieux que nous. La gravité se discute, la reproduction non. Les arbitrages retenus apparaissent dans le rapport, ce qui évite les désaccords silencieux au moment de la restitution.

Les prestations choisies par ce profil

Dans cet ordre, le plus souvent. Le cadrage sert à vérifier que c’est bien la bonne pour vous.

  • Pentest API

    Les API portent les données et moins de garde-fous que les interfaces.

    2 à 10 joursdès 1 290 €

  • Pentest web

    Savoir ce qu’un attaquant obtiendrait sur votre application.

    2 à 15 jours selon le périmètredès 1 490 €

  • Audit de code

    Retrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.

    3 à 15 jours selon le volume de codedès 1 900 €

  • Audit cloud

    Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.

    2 à 12 joursdès 1 290 €

  • Durcissement

    Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.

    de quelques jours à un accompagnement au trimestredès 990 €

Par ordre d’engagement croissant

Les deux premières ne demandent ni coordonnées ni rendez-vous.

  1. Étape 1Lire la méthode en détailLes six étapes, les règles d’engagement, et ce que nous refusons.
  2. Étape 2Préparer une missionCe qu’il faut avoir sous la main pour ne pas perdre deux jours au démarrage.
  3. Étape 3Voir la plateforme et ses limitesCe que l’automatisation couvre, et où elle s’arrête.

Les autres lectures

Voir les tarifsVoir un exemple de rapport

Réponse à toute demande sous 24 h ouvrées

Un périmètre à faire tester ?

Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.

Demander un cadrage gratuitConsulter les tarifs
  • Accord de confidentialité systématique
  • Cadrage gratuit et sans engagement
  • Périmètre et prix écrits avant le début