Glossaire de sécurité

Tests d'intrusion face au scan de vulnérabilités

Ces deux notions sont souvent confondues, et parfois vendues comme une seule et même chose, mais elles répondent à des questions différentes. Un scan de vulnérabilités demande « qu'est-ce qui pourrait clocher ici ? », un test d'intrusion demande « que peut réellement faire un attaquant ? ». Vous avez généralement besoin des deux, à des rythmes différents.

Un scan de vulnérabilités : la largeur automatisée

Un scan de vulnérabilités est un outil automatisé qui confronte les systèmes à une base de problèmes connus et de mauvaises configurations, et produit une liste de vulnérabilités potentielles, généralement assortie d'un niveau de sévérité. Il est rapide, peu coûteux et reproductible, donc idéal pour une exécution fréquente et une large couverture. Mais il signale des possibilités, génère des faux positifs et ne peut pas vous dire si un constat est réellement exploitable dans votre contexte.

Un test d'intrusion : la profondeur à dominante manuelle

Un test d'intrusion est mené par des humains : un testeur confirme les faiblesses en les exploitant et enchaîne des problèmes mineurs pris isolément en une voie d'attaque réaliste. L'automatisation ne sait pas faire cela. OWASP ASVS lui-même note que les outils ne peuvent pas vérifier pleinement les exigences les plus complexes, ni celles liées à la logique métier et au contrôle d'accès. Un test d'intrusion trouve les failles de logique et d'autorisation (comme l'IDOR inter-locataires) que les scanners manquent par construction.

Largeur face à profondeur, faux positifs face à preuve

Voyez cela comme la largeur face à la profondeur. Un scan couvre une grande surface de manière superficielle et vous laisse trier ce qui est réel ; un test d'intrusion couvre un périmètre ciblé en profondeur et vous remet des constats confirmés avec preuve de concept, contexte de risque métier et remédiation. Le résultat d'un scan est un point de départ ; le résultat d'un test d'intrusion est de qualité décisionnelle.

Quand utiliser chacun

Scannez en continu, par exemple chaque mois ou à chaque livraison, pour détecter à moindre coût les problèmes connus et les régressions. Réalisez des tests d'intrusion périodiquement et lors de changements importants, lorsque vous avez besoin de l'assurance que les véritables voies d'attaque sont fermées, ou lorsqu'un standard l'exige. De nombreux référentiels de conformité attendent les deux : PCI DSS, par exemple, impose à l'Exigence 11 des scans de vulnérabilités réguliers et des tests d'intrusion distincts.

Questions fréquentes

Un scan de vulnérabilités est un outil automatisé qui confronte les systèmes à une base de problèmes connus et signale des possibilités ; un test d'intrusion est mené par des humains et confirme les faiblesses en les exploitant, en enchaînant des problèmes mineurs pour former un chemin d'attaque réaliste. Un scan demande « qu'est-ce qui pourrait ne pas aller ? » ; un test d'intrusion demande « que peut réellement faire un attaquant ? ».

Non. Un scan signale des possibilités, produit des faux positifs et ne peut pas dire si un constat est réellement exploitable. OWASP ASVS relève lui-même que les outils ne peuvent pas vérifier entièrement les exigences complexes liées à la logique métier et au contrôle d'accès. Un test d'intrusion trouve les failles de logique et d'autorisation, comme l'IDOR inter-locataires, que les scanners manquent par construction.

Scannez en continu, par exemple chaque mois ou à chaque version, pour détecter à moindre coût les problèmes connus. Réalisez des tests d'intrusion périodiquement et lors des changements importants. De nombreux référentiels de conformité attendent les deux : PCI DSS, par exemple, impose à l'Exigence 11 des scans de vulnérabilités réguliers et des tests d'intrusion distincts.

Parlez à un vrai praticien.

Une question à laquelle ces pages n'ont pas répondu ? Dites-nous ce que vous cherchez à protéger et nous vous orienterons vers la mission adaptée. La première consultation est gratuite.