Glossaire de sécurité

Qu'est-ce qu'un test d'intrusion ?

Un test d'intrusion (pentest) est une attaque autorisée et simulée sur un système, menée comme le ferait un véritable adversaire, afin de trouver et de confirmer les faiblesses avant qu'un acteur malveillant ne le fasse. Le mot clé est « confirmer » : un test d'intrusion prouve qu'un problème est exploitable au lieu de le signaler comme simplement possible.

Il valide, il ne fait pas que scanner

La distinction essentielle, énoncée dans NIST SP 800-115, est qu'un test d'intrusion exploite activement une faiblesse pour confirmer son existence, au lieu de signaler seulement qu'une vulnérabilité pourrait être présente. C'est pourquoi un bon test d'intrusion fait le tri parmi les faux positifs des scanners : chaque constat s'accompagne d'une preuve. En contrepartie, il s'agit d'un exercice limité dans le temps et daté : il reflète le système tel qu'il a été testé, dans la fenêtre convenue.

Comment se déroule une mission

La plupart des missions suivent un processus reconnu tel que le Penetration Testing Execution Standard (PTES) ou les quatre phases de NIST SP 800-115 : planification, découverte, attaque et restitution. La phase d'attaque revient à la découverte à mesure que de nouveaux accès ouvrent de nouvelles voies. La mission commence par le cadrage et les règles d'engagement (chez Vexaro, avec un NDA avant tout accès) et se termine par un rapport priorisé et, chez nous, un contre-test gratuit des correctifs dans le délai fixé par le SoW.

Ce qui est testé

Les tests d'intrusion sont cadrés sur une cible : une application web (selon l'OWASP Web Security Testing Guide), une API (l'OWASP API Security Top 10), une application mobile (OWASP MASVS/MASTG), un réseau interne ou externe, ou une configuration cloud. Des cibles différentes exigent des méthodes différentes (appliquer une checklist web à une API passe à côté de l'essentiel du risque réel), c'est pourquoi les services sont répartis par cible.

Types de boîtes et niveau d'assurance

Le testeur peut travailler sans connaissance préalable (boîte noire, black-box), avec une connaissance partielle comme des identifiants et une spécification (boîte grise, grey-box), ou avec une connaissance complète incluant le code source et l'architecture (boîte blanche, white-box). Plus d'informations signifie en général une couverture plus profonde en un même temps. Le choix dépend donc de votre objectif d'assurance, et non de l'option qui paraît la plus redoutable. La boîte grise est la norme la plus rentable pour la plupart des travaux sur applications et API.

Questions fréquentes

C'est une attaque simulée et autorisée, menée comme le ferait un véritable adversaire, pour confirmer des faiblesses exploitables plutôt que de simplement signaler des faiblesses possibles : selon le NIST SP 800-115, elle exploite activement une faiblesse pour prouver qu'elle existe. C'est un exercice ponctuel et limité dans le temps, qui reflète le système tel qu'il a été testé pendant la fenêtre convenue.

La plupart des missions suivent un processus reconnu, comme PTES ou les quatre phases du NIST SP 800-115 : planification, découverte, attaque et restitution. Elle commence par le cadrage et les règles d'engagement (chez Vexaro, un NDA avant tout accès) et se termine par un rapport priorisé et, chez nous, un nouveau test gratuit des corrections dans le délai fixé par le SoW.

Un test d'intrusion porte sur une cible (application web, API, application mobile, réseau ou configuration cloud), car des cibles différentes exigent des méthodes différentes. Le testeur peut partir sans aucune connaissance (boîte noire), avec des connaissances partielles comme des identifiants et une spécification (boîte grise), ou avec le code source et l'architecture complets (boîte blanche). Le choix dépend de l'objectif d'assurance, et non de ce qui paraît le plus redoutable.

Parlez à un vrai praticien.

Une question à laquelle ces pages n'ont pas répondu ? Dites-nous ce que vous cherchez à protéger et nous vous orienterons vers la mission adaptée. La première consultation est gratuite.