Vexaro SecurityServices

Des services de sécurité, de bout en bout

Six missions de test offensif : pentests web, API, mobile et réseau, une revue de configuration cloud et la red team. Choisissez-en une ou combinez-les. Chaque mission est à dominante manuelle et se conclut par des constats priorisés, leur risque métier et un plan de remédiation exploitable.

Test d'intrusion d'application web

Des tests à dominante manuelle alignés sur OWASP WSTG et vérifiés au regard d'ASVS, pour trouver les failles de logique métier et de contrôle d'accès que les scanners ne détectent pas.

Périmètre type

Couverture mise en correspondance avec OWASP WSTG
Authentification, autorisation, logique métier
Black-box, grey-box ou white-box

Ce que vous obtenez

CVSS 3.1 avec preuve de concept
Références CWE / WSTG / ASVS
Contre-test gratuit dans le délai du SoW

Découvrir ce service

Test d'intrusion d'API

Tests authentifiés et multi-rôles des API REST et GraphQL pour BOLA, BFLA et l'autorisation au niveau des propriétés d'objet, selon l'OWASP API Top 10 (2023).

Périmètre type

OWASP API Top 10 (2023)
BOLA, BFLA, autorisation au niveau des propriétés d'objet
REST et GraphQL, multi-rôles

Ce que vous obtenez

Preuve de concept requête/réponse
Références CVSS 3.1 et CWE
Contre-test gratuit dans le délai du SoW

Découvrir ce service

Test d'intrusion d'application mobile

iOS et Android, analyse statique et dynamique selon OWASP MASVS v2.1.0 et MASTG, ainsi que l'API backend qui sert l'application.

Périmètre type

OWASP MASVS v2.1.0 / MASTG
iOS et Android, statique + dynamique
L'application et son API backend

Ce que vous obtenez

CVSS 3.1 avec preuve
Références MASVS / MASTG / CWE
Contre-test gratuit dans le délai du SoW

Découvrir ce service

Test d'intrusion réseau

Tests externe, interne et de segmentation fondés sur PTES et NIST SP 800-115. L'isolation est vérifiée activement, ce qui soutient PCI DSS Req 11.4.

Périmètre type

Externe, interne et segmentation
PTES et NIST SP 800-115
Valide activement l'isolation

Ce que vous obtenez

Résultats du test de segmentation
Références CVSS 3.1, CVE / CWE
Contre-test gratuit dans le délai du SoW

Découvrir ce service

Évaluation de la sécurité cloud

Revue de configuration cloud (AWS, Azure, GCP) au regard des CIS Benchmarks, dans le cadre de notre audit de sécurité : identités, stockage, réseau et journalisation.

Périmètre type

Revue de configuration AWS / Azure / GCP
Au regard des CIS Benchmarks
Identité, stockage, réseau, journalisation

Ce que vous obtenez

Constats mis en correspondance avec les contrôles CIS
Chemins IAM et d'élévation de privilèges
Contre-test gratuit dans le délai du SoW

Découvrir ce service

Red Team

Simulation orientée objectif à travers les personnes, les processus et la technologie, rattachée à MITRE ATT&CK. Elle éprouve la détection et la réponse et se termine par un débriefing purple team.

Périmètre type

Personnes, processus et technologie
Mis en correspondance avec MITRE ATT&CK
Scénarios assumed-breach

Ce que vous obtenez

Récit d'attaque et kill chain
Lacunes de détection et de réponse
Débriefing purple-team

Découvrir ce service

Consultez un exemple de rapport

Vous voulez savoir ce que vous recevez réellement ? Lisez un rapport d'évaluation illustratif et expurgé, avec la même structure, la même profondeur et le même ton qu'un livrable réel.

Préparation à la conformité & réponse à incident

Au-delà des tests offensifs : une préparation menée par des experts aux certifications que vos clients vous demandent, un contrat de réponse à incident avec délai de réponse garanti et des tests de la surface d'attaque humaine. Nous préparons et accompagnons ; l'attestation est toujours délivrée par un organisme indépendant.

Préparation SOC 2 et accompagnement à l'audit

Analyse d'écart SOC 2 menée par des experts, remédiation et accompagnement à l'audit selon les Trust Services Criteria, avec les preuves issues du test d'intrusion. La préparation, pas l'attestation.

Découvrir ce service

Préparation ISO 27001 et conseil SMSI

Déploiement du SMSI ISO/IEC 27001:2022 mené par des experts, traitement des risques, contrôles de l'Annexe A et audit interne, avec les preuves issues du test d'intrusion. La préparation, pas le certificat.

Découvrir ce service

Préparation PCI DSS et tests d'intrusion

Préparation PCI DSS v4.0.1 : cadrage du CDE, analyse d'écart, tests d'intrusion et de segmentation de l'Exigence 11.4. La préparation et les tests, pas une attestation QSA.

Découvrir ce service

Contrat de réponse à incident & DFIR

Un contrat de réponse à incident avec un délai de réponse garanti et une investigation DFIR, aligné sur NIST SP 800-61 Rev. 3. Il peut être mobilisé par l'intermédiaire de votre avocat.

Découvrir ce service

Ingénierie sociale & simulation de phishing

Phishing, spear-phishing, vishing et smishing autorisés pour mesurer la surface d'attaque humaine et votre réponse, cartographiés selon MITRE ATT&CK. Un exercice d'apprentissage, et non de mise en cause.

Découvrir ce service

Important : nous fournissons la préparation, l'analyse d'écart, la remédiation et les tests d'intrusion associés. Nous ne sommes ni un cabinet CPA, ni un organisme de certification accrédité, ni un QSA, et nous n'émettons pas de rapports SOC 2, de certificats ISO 27001 ni de Reports on Compliance PCI. Ceux-ci proviennent de l'évaluateur indépendant.

Apprenez les bases

Nouveau dans les tests d'intrusion ? Commencez par les fondamentaux, ou découvrez ce que coûte une mission.

Glossaire de sécurité

Des explications en langage clair : ce qu'est un test d'intrusion, CVSS, l'OWASP Top 10, SOC 2 face à ISO 27001 et bien plus.

Parcourir le glossaire

Combien coûte un test d'intrusion ?

Un guide sur ce qui détermine le prix d'une mission et sur ce que comprend un véritable devis.

Lire le guide des tarifs

La sécurité pour votre secteur

Notre approche des tests de sécurité et de la conformité pour les entreprises fintech et SaaS.

Voir les secteurs

Formats et délais réalistes

Durées indicatives. Le périmètre final dépend du volume et du modèle de menace convenu.

1 à 3 semaines

Tests d'intrusion

Web, mobile, API ou périmètre externe.

2 à 4 semaines

Audit de sécurité et de documentation

Infrastructure, configurations et processus.

3 à 6 semaines

Red Team

Simulation d'attaque ciblée selon un scénario convenu.

6 à 9 mois

Préparation à ISO 27001

Déploiement du SMSI, documentation et audit interne.

3 + 3-12 mois

SOC 2 Type II

Déploiement des contrôles plus la période d'observation.

3 à 6 mois

PCI DSS

Préparation à l'évaluation QSA.

Vous hésitez sur la prestation adaptée ?

Parlez-nous de votre système et de vos objectifs : nous recommanderons le format et le périmètre adaptés. La première consultation est gratuite.