Test d’intrusion post-compromission : partir d’un poste ou d’un compte piégé
Savoir jusqu’où va un attaquant qui a déjà un pied chez vous.
Réponse courte
Pentest post-compromission : de quoi s’agit-il, pour qui, à quel prix ?
Test d’intrusion interne en compromission supposée : nous recevons un poste de travail ou un compte comme ceux de vos salariés et cherchons à atteindre des objectifs convenus, comme l’administration du domaine, la messagerie de la direction ou les sauvegardes. Durée indicative : 5 à 10 jours selon la taille du réseau interne et le nombre d’objectifs. Prix : sur devis, après un cadrage gratuit.
Un test d’intrusion classique commence à l’extérieur et demande si l’on peut entrer. La question qui décide de la gravité d’un incident vient après. Dans la plupart des cas, quelqu’un a ouvert une pièce jointe, saisi son mot de passe sur une fausse page ou réutilisé un identifiant déjà publié, et l’attaquant se retrouve avec un poste ou un compte ordinaire à l’intérieur. Le test en compromission supposée : définition part de cet état de fait : nous recevons un accès comme ceux de vos équipes et cherchons à aller le plus loin possible.
Le point de départ est choisi avec vous : un ordinateur portable configuré comme les vôtres, avec son image système, son antivirus ou son EDR : définition et son accès au réseau d’entreprise, ou un compte utilisateur sans droit particulier, avec ou sans accès à distance. Les objectifs sont fixés dès le cadrage : devenir administrateur du domaine, lire la messagerie d’un dirigeant, atteindre les données de paie, joindre la console d’administration des sauvegardes. Nous les poursuivons par les chemins les plus réalistes et notons chaque étape : ce qui a rendu le saut possible, et ce qui l’aurait arrêté.
Cette approche se distingue de deux autres prestations. L’audit Active Directory examine en profondeur la configuration de l’annuaire, sans chercher à atteindre un objectif métier. La mission red team est discrète et mesure la détection sous surprise, sur une durée plus longue. Ici le temps est borné et la discrétion n’est pas un objectif : nous cherchons les chemins, pas la capacité à échapper à vos équipes. Si la détection vous intéresse, nous pouvons noter ce qui a déclenché une alerte, ou enchaîner avec un exercice purple team : définition.
En résumé
- Durée indicative
- 5 à 10 jours selon la taille du réseau interne et le nombre d’objectifs
- Prix
- sur devissur devis après cadrage : le prix dépend de la taille du réseau interne, du point de départ et du nombre d’objectifs
- Référentiels appliqués
- MITRE ATT&CKNIST SP 800-115PTES (Penetration Testing Execution Standard)ANSSI, recommandations pour l’administration sécurisée des systèmes d’information
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Pentest post-compromission : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Point de départ et règles du test
Poste de test ou compte fourni, objectifs convenus, plages horaires, systèmes exclus et conduite à tenir si un accès sensible est atteint. Tout est consigné dans la lettre de mission.
Découverte depuis l’intérieur
Cartographie du réseau visible depuis le poste, partages ouverts, services accessibles en interne, secrets laissés dans les scripts et les dossiers partagés.
Élévation de privilèges
Du compte ordinaire au compte à privilèges : mots de passe faibles ou réutilisés, délégations, vulnérabilités locales, erreurs de configuration de l’annuaire.
Déplacement latéral
Passage d’une machine à l’autre avec les identifiants et les jetons récupérés, franchissement des cloisonnements réseau, atteinte des serveurs sensibles.
Objectifs et données sensibles
Accès démontré aux objectifs fixés (administration du domaine, messagerie, données de paie, sauvegardes), avec la preuve minimale et sans copie de données réelles au-delà de l’indispensable.
Détection constatée
Alertes déclenchées, actions bloquées ou non vues par vos outils, relevées pour nourrir vos règles. Ce relevé ne remplace pas un exercice de détection complet.
Pentest post-compromission : que livre la mission ?
- Rapport technique : chaque chemin d’attaque décrit étape par étape, avec ses preuves
- Synthèse pour la direction : jusqu’où l’attaquant est allé et en combien de temps
- Schéma des chemins qui ont mené aux objectifs, avec le maillon à couper en priorité
- Correspondance des techniques employées avec la matrice MITRE ATT&CK
- Restitution aux équipes système et sécurité, avec rejeu des étapes clés
- Une passe de vérification des correctifs incluse
Qu’est-ce que cela change pour vous ?
- Une durée et un chemin réels pour passer d’un poste ordinaire à vos données les plus sensibles
- Une liste courte de corrections qui coupent plusieurs chemins à la fois
- Des éléments pour décider où investir : segmentation, comptes d’administration, détection
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Pentest post-compromission : pour qui est-ce utile ?
- Organisations qui ont déjà fait réaliser un test externe et veulent savoir ce qui se passe une fois à l’intérieur
- Entreprises dont l’annuaire Active Directory ou Entra ID est ancien et où les droits se sont accumulés
- Équipes qui sortent d’un incident ou d’une simulation d’hameçonnage et veulent mesurer l’étendue possible des dégâts
- Entités qui doivent remettre un test interne à un auditeur, un assureur ou un grand compte
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Pentest post-compromission : combien de temps dure la mission ?
Durée indicative : 5 à 10 jours selon la taille du réseau interne et le nombre d’objectifs. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Pentest post-compromission : ce qu’on nous demande
Quelle différence entre ce test et une mission red team ?
Une mission red team part de l’extérieur, dure plusieurs semaines, cherche à ne pas être vue et mesure la détection et la réaction de vos équipes. Le test en compromission supposée fournit le point d’appui dès le premier jour, borne le temps et ne cherche pas la discrétion. Il coûte moins cher, répond plus vite à la question « jusqu’où irait un intrus ? » et convient aux organisations dont les bases (comptes d’administration, cloisonnement) ne sont pas encore réglées. La red team vient utilement après.
Que faut-il fournir pour démarrer depuis un poste interne ?
Un poste ou une machine virtuelle construite sur votre image standard, un compte utilisateur ordinaire et, si possible, un second d’un autre profil (service comptable, support). Il faut aussi un accès réseau depuis vos locaux ou par votre VPN, un interlocuteur technique joignable pendant les tests, la liste des systèmes à exclure et un contact d’urgence. Nous n’avons besoin d’aucun droit d’administration au départ : l’obtenir fait partie du test.
Le test peut-il interrompre des services en production ?
Les techniques sont choisies pour limiter ce risque : pas de déni de service, pas de campagne de mots de passe qui verrouille les comptes sans votre accord, pas d’action destructive. Une exploitation qui pourrait faire tomber un système est discutée avec vous avant d’être tentée, et l’essai peut être reporté à un créneau convenu. Un contact d’urgence permet d’arrêter les actions à tout moment.
Faut-il prévenir l’équipe de sécurité avant de commencer ?
Cela dépend de l’objectif. Si elle est prévenue, nous partageons nos adresses sources, le test avance plus vite et le résultat porte sur les chemins d’attaque. Si elle ne l’est pas, nous observons aussi ce qu’elle voit et comment elle réagit, mais quelques personnes doivent connaître le test (direction, un référent) pour éviter qu’une alerte déclenche une vraie réponse à incident ou un signalement aux autorités. Le choix se fait au cadrage.
Pour comprendre avant de décider
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ArticlePréparer un test d’intrusion : la liste de contrôle avant la missionCe qu’il faut réunir avant le premier jour de test pour ne pas perdre un tiers du budget en mise en place, côté technique, organisationnel et juridique.
Quelles prestations s’y associent ?
Audit Active Directory
Savoir qui peut devenir administrateur du domaine, et par quel chemin.
3 à 10 jours selon la taille de la forêtdès 2 400 €
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Purple team
Rejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.
2 à 5 jours d’atelier, plus une préparationsur devis
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Pentest post-compromission » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse