Test d’intrusion interne (pentest réseau interne)
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
Réponse courte
Pentest interne : de quoi s’agit-il, pour qui, à quel prix ?
Test d’intrusion du réseau interne depuis un accès standard : ce qu’un poste compromis ou un prestataire branché atteint, cloisonnement entre segments, services exposés en interne, postes de travail, partages et secrets. Durée indicative : 3 à 12 jours. Prix d’entrée : à partir de 2 400 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Se demander « peut-on entrer ? » ne mène pas loin : avec le phishing : définition, la réponse est oui, tôt ou tard. La bonne question est ce qu’un attaquant atteint une fois à l’intérieur, et avec quel effort : quelles machines répondent, quels services sont ouverts, quels segments communiquent entre eux.
La mission se place dans la position d’un salarié, d’un prestataire ou d’un poste compromis : un accès au réseau interne et un compte sans privilège. Nous cartographions d’abord ce qui répond (serveurs, postes, imprimantes, caméras, interfaces d’administration), puis nous vérifions ce qu’un utilisateur ordinaire peut lire, modifier ou atteindre : partages de fichiers ouverts, bases de données joignables, services d’administration exposés, identifiants laissés dans des scripts ou des fichiers de configuration.
Le livrable décrit les chemins réellement praticables d’un segment à l’autre, avec, pour chacun, le maillon dont la correction coûte le moins et ferme le plus. La segmentation y est jugée sur des essais, pas sur le schéma d’architecture.
L’annuaire n’est qu’un des éléments examinés : nous relevons ses défauts évidents, mais l’étude approfondie de ses droits, de ses délégations et de ses certificats relève de l’audit Active Directory, qui se mène seul ou à la suite de ce test. Les serveurs de sauvegarde, les consoles d’hyperviseur et les outils de déploiement de logiciels sont traités comme des cibles à part entière, parce qu’ils ont souvent un droit d’administration étendu sur tout le parc.
En résumé
- Durée indicative
- 3 à 12 jours
- Prix
- à partir de 2 400 € HT
- Référentiels appliqués
- MITRE ATT&CKANSSI, guides d’hygièneCIS BenchmarksPTES
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Pentest interne : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Cartographie et services exposés en interne
Machines et services qui répondent depuis un accès standard : partages de fichiers, bases de données, interfaces d’administration, imprimantes, caméras, équipements réseau aux réglages d’origine.
Segmentation
Cloisonnement entre postes utilisateurs, serveurs, sauvegardes, hyperviseurs et réseaux techniques ; ce qui est atteignable depuis un simple poste, vérifié par des essais de connexion.
Postes de travail et serveurs
Durcissement, droits locaux, mots de passe d’administrateur local, chiffrement des disques, contournement des solutions de protection, correctifs manquants sur les services accessibles.
Partages, identifiants et secrets
Secrets en clair dans les partages, scripts de connexion, fichiers de configuration, historiques et documentation interne accessibles à tout utilisateur du réseau.
Protocoles et relais réseau
Résolution de noms détournable, relais d’authentification possible sur le segment, signature des échanges non exigée, protocoles hérités encore actifs.
Sauvegardes et résilience au rançongiciel
Accès aux sauvegardes depuis le réseau, immuabilité, capacité à restaurer, vérifiée par un essai plutôt que déclarée.
Pentest interne : que livre la mission ?
- Carte des services exposés en interne et des chemins praticables entre segments
- Liste des correctifs ordonnée par rapport effet / effort
- Inventaire des secrets trouvés accessibles depuis un accès standard
- Évaluation de la segmentation et de l’exposition des sauvegardes
- Plan de durcissement en vagues, compatible avec une exploitation en continu
Qu’est-ce que cela change pour vous ?
- Le temps réel et les étapes entre un poste compromis et vos données critiques
- Les chemins courts fermés en premier, avec un coût d’effort connu
- Une vision factuelle de l’exposition au rançongiciel
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Pentest interne : pour qui est-ce utile ?
- Organisations qui veulent savoir jusqu’où va un poste compromis sur leur réseau
- Entreprises industrielles avec réseaux bureautique et technique à cloisonner
- Structures qui veulent mesurer leur exposition au rançongiciel
- Suites d’un incident, pour vérifier que les chemins sont bien fermés
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Pentest interne : combien de temps dure la mission ?
Durée indicative : 3 à 12 jours. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (2 400 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Pentest interne : ce qu’on nous demande
Est-ce que cela perturbe la production ?
Les actions à risque (déni de service, modification massive de droits, exploitation susceptible de faire tomber un service) sont exclues par défaut et ne sont jamais menées sans accord écrit. Les tests bruyants peuvent être planifiés hors des heures ouvrées si vous le souhaitez.
Faut-il désactiver l’antivirus et l’EDR ?
Non, et ce serait contre-productif : une partie de l’intérêt de la mission est de mesurer ce que votre socle de détection voit passer. Nous travaillons avec vos protections actives et vous restituons, en plus des vulnérabilités, ce qui a déclenché une alerte et ce qui est passé sans bruit.
Quel accès au réseau faut-il nous fournir pour un pentest interne ?
Une prise réseau ou un poste sur le segment utilisateur, et un compte standard sans droit particulier : c’est la position d’un salarié ou d’un poste compromis. Nous demandons aussi la liste des plages d’adresses incluses dans le périmètre et les systèmes à ne pas toucher. Un accès à distance par une machine virtuelle dans votre réseau convient si vous ne pouvez pas accueillir un analyste sur site, mais il doit atteindre les mêmes segments qu’un poste ordinaire.
Pentest interne ou audit Active Directory : lequel commander en premier ?
Le pentest interne si votre question porte sur le réseau dans son ensemble : ce qu’un poste compromis atteint, la segmentation, les services oubliés. L’audit Active Directory si votre inquiétude est l’annuaire lui-même : droits, délégations, certificats, comptes de service. Les deux ont le même prix d’entrée et peuvent être menés à la suite, le second approfondissant ce que le premier a signalé sur l’annuaire.
Faut-il un test d’intrusion interne si notre surface exposée à Internet est propre ?
Oui, parce que les deux ne mesurent pas la même chose. Une surface externe propre dit qu’un inconnu ne passe pas facilement par une porte exposée. Elle ne dit rien de ce qui se produit quand un salarié ouvre une pièce jointe piégée : l’attaquant arrive alors avec un poste interne, et c’est la qualité du cloisonnement et du durcissement qui décide de la suite. C’est un scénario fréquent de rançongiciel, et c’est ce que mesure un test interne.
Pour comprendre avant de décider
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ArticlePréparer un test d’intrusion : la liste de contrôle avant la missionCe qu’il faut réunir avant le premier jour de test pour ne pas perdre un tiers du budget en mise en place, côté technique, organisationnel et juridique.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ArticleAudit de sécurité informatique : déroulé, livrables et prixCe qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
Quelles prestations s’y associent ?
Red team
Savoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
3 à 8 semainesdès 6 900 €
Durcissement
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
de quelques jours à un accompagnement au trimestredès 990 €
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Pentest interne » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse