Le test d’intrusion est le cœur de métier et d’expertise de CYBERIX. Contrairement à un audit, dont l’objectif est de valider la conformité à une politique, le test d’intrusion mesure le risque associé à un système d’information en simulant des conditions d’attaques réalistes.
La particularité du test d’intrusion réside dans son objectif premier : évaluer efficacement le risque associé à un système de traitement de l’information et identifier des pistes pour le réduire significativement. Dans cette optique, le consultant menant un test d’intrusion adopte temporairement la posture d’un attaquant réel (D’un vrai Hacker) et s’efforce de reproduire la démarche et les techniques d’un véritable individu malveillant. Grâce à cette approche, le test d’intrusion permet d’identifier un maximum de vulnérabilités susceptibles d’être exploitées ainsi que les scénarios probables menant à une compromission du système d’information.
Le rapport de test d’intrusion fournit l’ensemble des détails requis pour reproduire les situations à risques, l’analyse du risque établie par le consultant ainsi que l’ensemble des recommandations nécessaires à la mise en place d’un plan d’action. Il s’inscrit donc directement dans le processus de gestion du risque et encourage les contre-mesures efficaces et pragmatiques afin d’abaisser rapidement le risque à un niveau acceptable par le client ou la réglementation.
Dans notre démarche professionnelle, nous menons des tests d’intrusions à caractère global. Le test d’intrusion permettra d’éprouver et d’évaluer votre système de sécurité physique et technologique. Nos experts, sont certifiés par les organismes internationaux tels que EC-Council, et sont dévoués et prêts à mettre à votre service tout leur savoir-faire.
Les connaissances initiales de chaque partie ont une importance considérable dans le déroulement du test d’intrusion : plus l’attaquant dispose d’informations, plus exhaustive est la recherche et moins réaliste est l’analyse du risque.
Le test d'intrusion boîte noire (black box)
Test le plus courant : le prestataire débute l’audit sans connaissance initiale, notamment sans information technique relative à la plateforme testée et sans identifiants. Seules des informations publiques comme les IP ou URL sont généralement fournies.
Le test d'intrusion boîte grise (Grey box)
Complémentaire du test boîte noire : le consultant dispose d’informations limitées et choisies afin de mesurer le risque dans une situation pertinente. Par exemple, des identifiants valides peuvent être fournis afin d’évaluer l’étendue du risque en cas d’usurpation de l’identité d’un utilisateur privilégié.
Les conditions simulées lors d’un test d’intrusion dépendent fortement de la position initiale adoptée par l’attaquant. Ainsi, nous procédons à deux types de tests de pénétrations :
Le test d'intrusion externe
Prestation la plus courante et généralement la plus profitable : le consultant opère depuis nos locaux sur une connexion Internet ordinaire et simule des attaques provenant d’utilisateurs malveillants anonymes sur Internet.
Le test d'intrusion interne
Il correspond à la configuration inverse : nous simulons une attaque depuis l’un des réseaux internes à la société afin de mesurer le risque de compromission par un employé, prestataire ou partenaire malveillant par exemple.
La méthodologie mise en œuvre pour le test d’intrusion consiste en une succession d’étapes.
-
Mise en place (kick-off/validation du périmètre)
-
Découverte du périmètre
-
Prise d'informations
-
Recherche de vulnérabilités
-
Construction des scénarios d'attaques et compromission du SI
-
Compromission initiale, maintien d'accès et élévation de privilèges
-
Rédaction et livraison du rapport
Un rapport précis contenant les failles, leurs criticités, les méthodes d’enrayement, les méthodes de contournement, la facilité d’exploitation, l’incidence de la faille et plusieurs graphiques comparatifs vous est remis. Ce rapport est suivi d’un double entretien personnalisé: un entretien axé sur le décisionnel expliquant les vulnérabilités découvertes, leurs impacts et la procédure à mettre en place; ainsi qu’un entretien technique permettant d’appréhender au mieux le contenu du rapport et surtout de mettre en place les contre-mesures le plus rapidement possible.