Trouvez vos points faibles avant les attaquants
Audits de sécurité, tests d'intrusion, Red Team et préparation à la certification internationale. Des tests à dominante manuelle, des rapports fondés sur des référentiels reconnus et un périmètre convenu par écrit avant tout démarrage.
- WSTG, ASVS, API Top 10
- OWASPWSTG, ASVS, API Top 10
- Notation de la sévérité
- CVSS 3.1Notation de la sévérité
- Processus de mission structuré
- PTESProcessus de mission structuré
- Périmètre avant tout test
- Par écritPérimètre avant tout test
Tout le cycle de vie de la sécurité de l'information
De l'évaluation ponctuelle à l'accompagnement dans la durée, nous couvrons la sécurité de votre infrastructure, de vos applications et de vos processus.
Audit de sécurité et de documentation
Évaluation de bout en bout de l'infrastructure, des configurations, des processus et de la documentation, assortie d'un rapport priorisé.
- Revue des réseaux, serveurs et cloud
- Audit des politiques, procédures et processus
- Rapport avec plan de remédiation
Tests d'intrusion
Une attaque contrôlée en mode black-box, grey-box ou white-box. Nous cherchons ce qu'un véritable attaquant exploiterait.
- Web, mobile, API et périmètre externe
- Pentest interne et segmentation
- Contre-test après remédiation
Red Team
Une attaque simulée avec un objectif précis, selon un scénario convenu. Elle éprouve à la fois vos équipes, vos processus et vos défenses.
- OSINT et ingénierie sociale
- Phishing et accès physique
- Évaluation de la réponse de la Blue Team
Réponse à incident
De l'aide quand un incident survient : investigation, confinement et reprise, avec un délai de réponse garanti par le contrat de réponse à incident.
- Triage et investigation forensique des incidents
- Appui au confinement et à la reprise
- Analyse des causes et retour d'expérience
Préparation à la certification
Nous construisons les processus et la documentation requis par les standards internationaux et vous accompagnons jusqu'à la certification.
- ISO 27001, SOC 2, PCI DSS, GDPR
- Politiques, procédures et registre des risques
- Accompagnement lors de l'audit de certification
Formation & sensibilisation
Nous renforçons la résistance de votre équipe aux attaques : formations, simulations de phishing et vérification des connaissances.
- Simulations de phishing
- Formations à la sécurité pour le personnel
- Développement sécurisé
Un processus transparent, de la demande au résultat
Cadrage
Nous définissons les limites de l'évaluation, les objectifs et le modèle de menace. Les délais et les règles d'engagement sont convenus.
Évaluation
Audit et test d'intrusion : nous cherchons les vulnérabilités et les chemins qu'emprunterait un attaquant.
Rapport
Un rapport priorisé : ce que nous avons trouvé, pourquoi c'est important et comment y remédier.
Accompagnement
Nous vous aidons à remédier et effectuons un contre-test pour confirmer que les risques sont clos.
Des praticiens, pas des théoriciens
En plus de tester, nous concevons nous-mêmes des produits et des infrastructures, ce qui nous permet de comprendre le risque des deux côtés.
Des praticiens qui testent à la main, comme le ferait un véritable attaquant. Les outils aident, mais ne remplacent pas le jugement.
Vexaro développe des logiciels et des infrastructures. Nous savons donc où les choses cassent le plus souvent.
Des priorités, le risque métier et des étapes concrètes plutôt qu'un export brut de scanner.
Nous accompagnons la remédiation et recontrôlons les correctifs sans frais supplémentaires, dans le délai fixé par l'énoncé des travaux (SoW).
Prêt pour les standards internationaux et la certification
Formats et délais réalistes
Durées indicatives. Le périmètre final dépend du volume et du modèle de menace convenu.
Tests d'intrusion
Web, mobile, API ou périmètre externe.
Audit de sécurité et de documentation
Infrastructure, configurations et processus.
Red Team
Simulation d'attaque ciblée selon un scénario convenu.
Préparation à ISO 27001
Déploiement du SMSI, documentation et audit interne.
SOC 2 Type II
Déploiement des contrôles plus la période d'observation.
PCI DSS
Préparation à l'évaluation QSA.
Les types de failles que nous recherchons
Des scénarios illustratifs fondés sur des types de constats courants. Il ne s'agit pas d'études de cas clients.
Test d'intrusion de l'API de paiement
Illustration : une condition de course qui contourne les plafonds de virement et modifie le montant. C'est exactement le type de faille logique qu'un test d'API manuel doit trouver avant la mise en production.
Audit du réseau d'agences
Illustration : des interfaces d'administration de caisses exposées sur Internet et un réseau à plat entre les sites, détectés par des tests externes et internes et corrigés par la segmentation et le durcissement du périmètre.
Préparation à ISO 27001
Illustration : la construction du SMSI (processus, politiques, procédures et formation du personnel), prêt pour les audits Stage 1 et Stage 2 d'un organisme accrédité.
Ce que nous trouvons reste entre nous
Chaque mission commence par un accord de confidentialité. Les détails de votre infrastructure, nos constats et les rapports ne sont accessibles qu'aux personnes qui travaillent sur votre mission, y compris un éventuel sous-traitant tenu à une confidentialité équivalente. Ils ne sont communiqués à personne d'autre, sauf obligation légale.
Nous signons un accord de confidentialité avant de recevoir le moindre accès.
Les accès, artefacts et rapports sont stockés chiffrés.
L'accès aux données est limité aux membres du projet, strictement selon le principe du besoin d'en connaître.
Les données de travail sont supprimées ou restituées à l'issue de la durée de conservation convenue, et les accès temporaires sont retirés.
Questions fréquentes
Un audit évalue la sécurité des configurations, des processus et de l'architecture. Un pentest est une attaque contrôlée qui vérifie comment on pourrait réellement pénétrer. Les deux sont souvent menés ensemble.
C'est ainsi que nous le concevons. Nous convenons d'abord du modèle de menace, des limites et des règles ; les tests lourds ou potentiellement perturbateurs ne sont menés que dans une fenêtre convenue. Tester activement des systèmes en production comporte toujours un risque de perturbation : nous planifions donc en tenant compte de vos sauvegardes et de vos périodes critiques.
Un rapport avec des constats priorisés, une évaluation du risque métier et des étapes concrètes de correction. Plus l'accompagnement de la remédiation et un contre-test gratuit des points corrigés, dans le délai fixé par l'énoncé des travaux (SoW).
Oui. Nous conseillons votre équipe sur la correction et effectuons un nouveau test pour confirmer que les risques sont fermés.
ISO 27001, SOC 2, PCI DSS, GDPR, OWASP ASVS, NIST CSF et d'autres. Nous construisons les processus et la documentation pour le standard et vous accompagnons jusqu'au certificat.
Délais réalistes : pentest (1 à 3 semaines), audit de sécurité (2 à 4 semaines), préparation à ISO 27001 (6 à 9 mois) et PCI DSS (3 à 6 mois). Pour SOC 2 Type II, comptez 3 mois de mise en œuvre plus une période d'observation de 3 à 12 mois.
Nous signons un NDA avant de commencer. Les constats et les preuves sont stockés chiffrés sur des systèmes à accès contrôlé, l'accès suit le moindre privilège, les rapports sont transmis par des canaux sécurisés et les données de travail sont supprimées ou restituées à l'issue de la durée de conservation convenue.