Quels sont les différents tests possibles ?

Il existe différents types de pentests : applicatif, infrastructure, scénario reproduisant une attaque portant sur l'ensemble de votre système d'information, test impliquant des mécanismes d'ingénierie sociale… A noter que les tests de vulnérabilités se différencient des tests d'intrusion : les premiers visent à identifier des failles alors que les deuxièmes vont tenter d'exploiter de manière contrôlée ces failles.

Avant de vous lancer dans cet exercice, AFNOR Compétences vous propose de revenir sur les étapes-clés d'une méthodologie réussie :

1. 1. Définir votre cahier des charges

Quel est votre objectif? Votre cible ? Quel niveau de profondeur est attendu? Quelles personnes/équipes seront impliquées dans votre test d'intrusion? Il est important de répondre à toutes ces questions en amont du test d'intrusion : cette phase de préparation permet d'alligner les attentes entre l'organisation et le testeur.
 

2. Cartographier l'environnement à tester

Environnements sensibles, interfaces exposées, comptes... Il s'agit de décider quelles informations seront communiquées au testeur. Vous devez pour cela cartographier votre environnement : plus le testeur aura des informations précises, meilleur sera l'exercice. Surtout si vous faites appel à un testeur externe à votre organisation.

Vous pouvez ensuite définir les chemins d'attaque les plus plausibles, les éléments qui peuvent attirer les cyberattaquants (par leur exposition au risque, leur valeur par exemple).
 

3. Rechercher les failles

Rechercher des versions obsolètes de logiciels, de mauvaises configurations des authentifications, des erreurs de gestion de session… : ce travail est essentiel pour renforcer la cyberdéfense de votre organisation. Le cœur de votre test d'intrusion requiert une attention forte à tous les détails du système, applications… testés. Il s'agit de cibler certaines vérifications en particulier sans négliger des vérifications manuelles, en allant sur chaque outil utilisé. Les vérifications automatisées doivent en effet être complétées par des contrôles manuels pour obtenir une évaluation plus fiable.
 

4. Analyser les observations

Exploiter une vulnérabilité va au-delà de la simple détection : le testeur doit analyser comment celle-ci pourrait être utilisée par un potentiel cyberattaquant. Si différents scénarios se dessinent, il est important de les notifier puis d'expliquer celui ou ceux qui sont les plus probables mais surtout les plus dangereux pour l'organisation. Cette analyse objective permet par exemple d'insister sur une vulnérabilité qui permettrait de récupérer des données personnelles.

A ce stade, le testeur va hiérarchiser les risques en fonction d'un scénario le plus réaliste possible. Une faille peut en effet être moins "dangereuse" seule mais s'avérer "critique" lorsqu'elle peut entraîner d'autres problèmes en cascade : peut-elle par exemple donner un accès à un environnement sensible de votre organisation ?
 

5. Formaliser le rapport et un plan d'action

Le rapport du test d'intrusion va servir à l'organisation pour convenir d'un plan d'action afin de pallier les vulnérabilités détectées. Le rapport doit donc aider l'organisation à définir l'ordre des priorités sur ces futures actions, en fonction notamment du niveau de risque attribué à chacune de ces failles. Documenter, argumenter, contextualiser chacune des recommandations du rapport est primordial.

Pourquoi se former avant de lancer ses tests d'intrusion ?

A l'issue de cette formation, vous serez capable de :

• - Identifier les éléments-clés d’un programme de tests d’intrusion (périmètre, objectifs, fréquence)
• - Sélectionner un prestataire sur la base du référentiel PASSI de l’ANSSI
• - Sécuriser le cadrage juridique d’une mission de test d’intrusion (Convention, autorisation, respect du RGPD)
• - Examiner et définir les axes d’exploitation d’un rapport de pentest (CVSS v4, plan de remédiation)
• - Renforcer le management de la sécurité de l’entreprise/organisation (ISO 27001 A.8.8, A.8.29) en y intégrant ces résultats
•  

A l’issue de la formation, vous serez capable de :

• - Identifier les étapes-clés pour bâtir et déployer un programme de gestion des vulnérabilités
• - Utiliser les outils de scan (Nessus, OpenVAS, Greenbone, Nuclei)
• - Distinguer et qualifier une vulnérabilité (CVE, CVSS v4, exploitabilité)
• - Concevoir un plan de remédiation aligné sur le risque métier en matière de cybersécurité
• - Intégrer les exigences d’un Système de Management de la Sécurité de l’Information (SMSI) en lien avec la norme ISO 27001 au sein des démarches internes à l’entreprise
•