Les tests d’intrusion, aussi appelés «
tests de pénétration
» ou «
pentests
», sont utilisés par les professionnels de la cybersécurité et les fournisseurs de services gérés pour identifier les vulnérabilités présentes dans un système avant qu’un incident de cybersécurité ne survienne. Vos clients vous demanderont souvent de réaliser des tests d’intrusion, d’autant plus que de nouvelles réglementations gouvernementales rendent progressivement cette pratique obligatoire.
Le test d’intrusion est une spécialité complexe, essentielle à la bonne prestation globale des services de cybersécurité et de conformité. Même les MSP qui ne réalisent pas eux-mêmes leurs pentests s’associeront très probablement à un autre fournisseur capable de garantir la disponibilité de ce service précieux pour leurs clients.
Qu’est-ce qu’un test d’intrusion (pentest) ?
La méthode du test d’intrusion consiste à évaluer, mesurer et améliorer le niveau de sécurité des réseaux et des systèmes d’une entreprise en les confrontant aux mêmes tactiques et techniques qu’utiliserait un hacker.
Les pentests permettent aux entreprises de tester leurs systèmes informatiques, leurs réseaux et leurs applications web afin d’y détecter d’éventuelles vulnérabilités de sécurité qui pourraient être exploitées par un acteur malveillant. Les testeurs d’intrusion ont pour mission de recueillir des informations clés sur le système qu’ils évaluent. Ils doivent identifier les points d’entrée possibles et simuler une attaque afin de mieux cerner l’exposition réelle à des menaces telles que les malwares et les ransomwares.
Le test d’intrusion fait partie, et est parfois intégré, d’autres audits essentiels portant sur les politiques de sécurité, le respect des exigences réglementaires en matière de données et de confidentialité, la surveillance et la planification de la réponse et de la remédiation.
Les avantages du test d’intrusion et les raisons d’y recourir
Les informations obtenues grâce à un test d’intrusion aident les responsables informatiques à comprendre leurs faiblesses de sécurité et à prendre des décisions stratégiques pour les corriger. Le rapport d’un pentest donne à une entreprise une vision claire de la manière de hiérarchiser sa stratégie de cybersécurité et de superposer correctement différents outils et techniques pour obtenir une couverture optimale.
Les pentests mettent aussi à l’épreuve les capacités de réponse aux incidents d’une entreprise et sa préparation face à une véritable attaque. C’est en forgeant qu’on devient forgeron : des tests d’intrusion réguliers aident une entreprise ou une équipe de sécurité informatique à rester prête.
Quels sont les types de tests d’intrusion ?
Il existe trois méthodes pour simuler des cyberattaques dans le cadre d’un test d’intrusion :
Black box
Une évaluation en black box se déroule généralement lors de la phase initiale d’un test d’intrusion. Le pentester, qui joue le rôle d’un hacker malveillant, ne reçoit aucune information sur le fonctionnement interne ni sur l’architecture du système ciblé. Sa mission : pénétrer le système en ne disposant que des connaissances d’une personne extérieure.
Comme vous pouvez l’imaginer, l’objectif est de simuler le risque réel d’une menace externe qui cartographie le système à la recherche de la moindre vulnérabilité.
Gray box
Le niveau suivant du test simule une attaque menée par une menace qui connaît au moins en partie le système de sécurité interne. Les testeurs en gray box endossent généralement le rôle d’une personne disposant d’un accès et de privilèges au sein du système. On leur fournit des informations de base sur l’architecture et les protections du système ciblé.
Cette approche permet une évaluation plus réfléchie et plus ciblée de la sécurité d’un réseau. Dans les tests en black box, le testeur passe beaucoup de temps à simplement chercher des vulnérabilités. Un test en gray box simule une attaque où la menace sait ce qu’elle cherche et a une idée de l’endroit où y accéder.
White box
Également appelé «
test piloté par la logique
», «
test auxiliaire
», «
test en open box
» ou «
test en clear box
», le test en white box simule une situation où les hackers ont un accès total au code source et à la documentation d’architecture. Le pentester peut passer au crible chaque ligne de code et chaque document pour trouver des vulnérabilités, ce qui lui permet de travailler au niveau du développeur du logiciel ou du réseau.
Cette méthode demande du temps, mais c’est aussi la forme la plus complète de test d’intrusion, capable de révéler les vulnérabilités internes comme externes.
Les catégories de tests d’intrusion
Comme vous le constatez, tous les tests d’intrusion ne se déroulent pas de la même manière. Au-delà des trois types de pentests, il existe au moins cinq grandes prestations de tests d’intrusion que les professionnels de l’informatique proposent habituellement :
Test externe
Un test d’intrusion externe cible les actifs facilement visibles : sites web, applications web, serveurs de noms de domaine (DNS) et comptes e-mail. Ces tests servent à déterminer si des attaquants externes peuvent exploiter des systèmes externes pour accéder au réseau ou aux données.
Test interne
Les tests d’intrusion internes simulent une attaque menée par une personne malveillante de l’intérieur plutôt que par une menace externe. L’objectif est de mettre au jour les vulnérabilités qui pourraient être exploitées par quelqu’un ayant un accès derrière le pare-feu de l’entreprise. C’est parfois à cette occasion que l’on teste la vulnérabilité des employés à l’ingénierie sociale ou au phishing.
Test en aveugle
Quel est le degré de vulnérabilité d’un système face à un hacker disposant de très peu d’informations ? Dans un pentest en aveugle, seules les informations accessibles publiquement sont utilisées pour accéder à un système. Le testeur d’intrusion avance «
à l’aveugle
», mais la cible sait, elle, ce que le hacker éthique va attaquer, comment et quand.
Test en double aveugle
Dans un test d’intrusion en double aveugle, ni le pentester ni la cible ne connaissent le périmètre de l’attaque simulée. La cible n’a aucune connaissance préalable de la nature de l’attaque : elle n’a donc pas le temps de se préparer et de fausser les résultats du test. Cette méthode révèle les vulnérabilités de façon plus fiable, car le plan de sécurité est poussé jusqu’à ses limites pratiques dans des conditions plus réalistes.
Test ciblé
Le test ciblé repose sur une démarche collaborative : le hacker et les défenseurs s’informent mutuellement de leurs actions. En «
jouant
» une attaque en temps réel, les pentesters comme l’entreprise ciblée acquièrent des enseignements précieux sur les meilleures stratégies de sécurité de l’information à adopter.
Les phases d’un test d’intrusion
Les tests d’intrusion se déroulent généralement en cinq étapes :
- La planification. C’est l’étape de collecte d’informations et de préparation du test. Les testeurs commencent par mener une reconnaissance de la cible et par élaborer un plan d’attaque. L’ingénierie sociale intervient souvent à ce stade pour rassembler les ressources (renseignements et données) nécessaires à la conduite de l’attaque.
- L’analyse du système. Le testeur va ensuite «
scanner
» le système ciblé pour détecter les vulnérabilités et déterminer comment la cible réagira à son attaque. Cela revient à vérifier toutes les portes et fenêtres extérieures d’un bâtiment pour voir si elles sont verrouillées. - L’intrusion. Le testeur recourt alors à des techniques comme le cross-site scripting, l’injection SQL ou les portes dérobées pour contourner le pare-feu et entrer dans le système. Une fois le système compromis, les testeurs prennent le contrôle du réseau, des appareils et/ou des données.
- Le maintien de l’accès. L’objectif suivant du testeur d’intrusion est de déterminer combien de temps il peut rester dans le système et jusqu’où il peut s’y enfoncer. Il implante des rootkits et installe des portes dérobées pour qu’il soit trivial de rester dans le système, ou d’y revenir plus tard. Le testeur simule également la manière dont un hacker effacerait ses traces pour supprimer toute preuve de l’intrusion.
- L’analyse des résultats. Le moment est venu pour le hacker éthique de tirer le bilan du test. Le testeur rédige une revue détaillée de la configuration et rend compte des résultats de son attaque simulée. Les informations obtenues sur les vulnérabilités exploitables et les failles de sécurité peuvent désormais servir à réévaluer la stratégie de sécurité et à entamer la remédiation et le durcissement du système.
Les outils de pentest utilisés par les MSP et les professionnels de l’informatique
Le test d’intrusion est un exercice complexe et technique qui exige plusieurs outils spécialisés, identiques ou similaires à ceux qu’emploient les véritables acteurs malveillants.
Les outils de reconnaissance
Les outils de reconnaissance servent lors de la première étape du test, quand le hacker éthique recueille des informations sur l’application ou le réseau ciblé. On y trouve des scanners de ports TCP, des outils d’examen de services web, des outils de recherche de domaines et des scanners de vulnérabilités réseau.
Les outils proxy
Les outils proxy servent à intercepter le trafic entre un navigateur web et un serveur web ciblé. Ils permettent ainsi d’identifier et d’exploiter les vulnérabilités applicatives avec des techniques comme le XSS et la falsification de requête côté serveur (SSRF).
Les scanners de vulnérabilités
Les scanners de vulnérabilités web et réseau aident les pentesters à repérer les applications présentant des vulnérabilités connues ou des erreurs de configuration. Ils sont utilisés lors de la deuxième étape de l’attaque pour trouver une voie d’accès au système.
Les outils d’exploitation
Les outils d’exploitation servent à mener la partie «
attaque
» du test d’intrusion. Ils permettent différentes actions offensives, comme les attaques par force brute ou les injections SQL. Certains matériels conçus spécifiquement pour le pentest, comme des boîtiers qui se branchent sur un appareil et fournissent un accès à distance aux réseaux, constituent également des outils d’exploitation utiles.
Les outils de post-exploitation
Les outils de post-exploitation servent à effacer les traces du testeur une fois l’attaque terminée. Les outils de cette catégorie permettent au hacker éthique d’échapper à la détection tout en laissant le système dans l’état où il l’a trouvé.
Renforcez et sécurisez votre réseau. Regardez Qu’est-ce qu’un test d’intrusion ? pour découvrir comment.
Devenir partenaire de NinjaOne
En proposant des services et des produits de test d’intrusion, votre MSP peut mieux connaître le réseau de chaque client, ce qui vous permet ensuite de leur vendre les services de cybersécurité sur mesure dont ils ont besoin. C’est une étape importante pour rendre les réseaux de vos clients aussi sûrs que possible.
Et NinjaOne est là pour vous aider à rendre votre MSP aussi efficace et réactif que possible. Des milliers d’utilisateurs s’appuient sur notre plateforme RMM de pointe pour maîtriser la complexité de la gestion informatique moderne.
Vous n’êtes pas encore partenaire de Ninja ? Nous voulons quand même vous aider à optimiser votre activité de services gérés ! Consultez notre blog pour des ressources et des guides pratiques destinés aux MSP, inscrivez-vous à Bento pour recevoir des conseils essentiels dans votre boîte de réception, et participez à nos Live Chats pour échanger en tête-à-tête avec des experts du secteur.
Si vous êtes prêt à devenir partenaire de NinjaOne, planifiez une démo ou commencez votre essai gratuit de 14 jours pour découvrir pourquoi les MSP choisissent Ninja comme partenaire RMM.
