Un test vous dit où le bât blesse. Il n'y remédie pas.
De plus en plus de clients, d'assureurs et d'auditeurs exigent un test d'intrusion. Cette page explique quand il en vaut la peine, ce qu'il apporte, ce qu'il n'apporte pas, et ce qui doit se passer ensuite pour que le rapport ne finisse pas dans un classeur.
Nous ne réalisons pas nous-mêmes de tests d'intrusion. Nous vous disons si vous en avez besoin, à quoi veiller au moment de choisir, et nous prenons en charge la partie qui commence une fois le rapport rendu.
Un scan de vulnérabilités n'est pas un test d'intrusion. Le scan confronte vos systèmes aux vulnérabilités connues et livre une liste. Le test cherche à exploiter réellement les vulnérabilités et à les enchaîner. Chacun a sa place, mais le scan ne remplace pas le test, et le test ne remplace pas le scan.
Un test est un instantané. Il décrit l'état constaté le jour de l'examen. Chaque correctif, chaque nouvelle interface et chaque nouveau prestataire modifie ensuite le tableau.
Le rapport n'est pas le résultat. Le résultat, ce sont les constats corrigés. Un test sans temps prévu pour la correction et sans contre-test est un état des lieux coûteux.
Un test réussi n'est pas une preuve de conformité. Ni NIS2, ni DORA, ni ISO 27001 n'exigent un test d'intrusion en tant que tel. Ils exigent une gestion des risques dans laquelle un examen technique régulier peut être une brique.
Avant le test
- Un accord de confidentialité signé avant le premier échange sur le fond, et non après
- Une offre écrite précisant le périmètre, la méthodologie, la période et le prix, plutôt qu'un forfait sans délimitation
- Une méthodologie nommée, en général OWASP pour les applications web, NIST ou OSSTMM pour l'infrastructure, et pour les paiements les exigences de PCI DSS
- Une délimitation claire des systèmes inclus dans le périmètre et de ceux qui en sont expressément exclus, avec un contact d'urgence au cas où quelque chose tomberait en panne
Chez le prestataire lui-même
- Des certifications démontrables des personnes qui testent, les plus répandues étant OSCP pour la pratique offensive et CISSP pour le volet conceptuel
- Une recherche propre, par exemple des vulnérabilités publiées avec un numéro CVE. Qui trouve et signale lui-même des failles ne cherche pas comme quelqu'un qui se contente d'utiliser un outil
- Un système de management de la sécurité de l'information chez le prestataire lui-même, puisqu'il obtient un accès à vos systèmes
- Des références dans votre secteur et dans votre langue, surtout lorsque les résultats doivent être expliqués à une autorité ou à des clients
Dans le rapport
- Chaque constat accompagné d'une preuve d'exploitabilité, et pas seulement d'un nom d'outil et d'un niveau de risque
- Une appréciation de la criticité dans le contexte de votre entreprise, plutôt qu'un score générique
- Des recommandations de correction concrètes, applicables par votre équipe de développement ou par votre prestataire
- Un contre-test des constats corrigés, idéalement inclus dans l'offre et non facturé en supplément
Un test décrit une journée. Ces quatre briques décrivent le temps qui sépare deux tests, et il est nettement plus long.
Avant qu'une nouvelle application ou un portail client ne devienne accessible publiquement, car ensuite chaque faille est une faille en production
Après une migration, une nouvelle interface ou un changement de prestataire, car c'est précisément là que la surface d'attaque se déplace
Lorsqu'un grand compte, un assureur ou une autorité l'exige. Alors ce n'est pas seulement le test qui compte, mais aussi la solidité de la preuve qui suit
Test d'intrusion
CAVRIX réalise-t-il lui-même des tests d'intrusion ?
Non. Nous ne testons pas de manière offensive et nous ne réalisons pas de simulations d'attaque. C'est une discipline à part entière, avec ses propres certifications, et qui promet les deux d'une seule main finit par contrôler son propre travail. Nous déterminons pour vous si un test a du sens et dans quel périmètre, nous aidons au choix du prestataire et à la lecture de l'offre, et nous prenons en charge la partie qui suit.
Quelle est la différence entre un test d'intrusion, un scan de vulnérabilités et le red teaming ?
Le scan de vulnérabilités est automatisé, large et peu coûteux, il trouve ce qui est déjà connu. Le test d'intrusion est manuel, profond et limité à un périmètre convenu, il cherche à exploiter réellement les vulnérabilités. Le red teaming n'examine pas un système mais votre organisation, c'est-à-dire la technique, les personnes et les processus ensemble, le plus souvent sans que l'informatique en soit informée à l'avance. Pour la plupart des PME, la voie raisonnable est un scan régulier complété par un test ciblé, le red teaming ne se justifie qu'avec une défense déjà mature.
Combien coûte un test d'intrusion ?
Aucun montant forfaitaire sérieux n'est possible, car le prix dépend du périmètre, donc du nombre d'applications, d'interfaces et de voies d'accès. Ce que vous pouvez vérifier : une offre sans périmètre défini n'est pas une offre. Et un prix nettement inférieur au marché signifie en règle générale moins de jours de test, pas plus d'efficacité.
NIS2 exige-t-elle un test d'intrusion ?
Pas expressément. NIS2 exige des mesures de gestion des risques et des procédures permettant d'évaluer leur efficacité, et la direction répond de leur mise en œuvre. Un test technique régulier est un moyen courant de démontrer cette efficacité, mais il n'est pas le seul et ne suffit pas à lui seul. Dans le secteur financier, la situation est plus stricte : DORA prévoit expressément des tests fondés sur la menace pour certains établissements.
À quelle fréquence faut-il tester ?
Il n'existe aucune fréquence imposée par la loi. En pratique, un rythme annuel fait ses preuves pour les systèmes accessibles depuis l'extérieur, complété par un test chaque fois que l'architecture, les voies d'accès ou les prestataires changent de manière significative. Entre deux tests, c'est l'observation continue qui porte, pas le calendrier.
Que se passe-t-il après le rapport ?
La vraie partie du travail. Hiérarchiser les constats, planifier et accompagner la correction, fixer la date du contre-test, et documenter les résultats de manière à ce qu'ils tiennent devant les clients, les assureurs et les autorités. En parallèle, l'observation continue, car entre deux tests de nouvelles vulnérabilités apparaissent et des identifiants surgissent dans des fuites. C'est exactement cette partie qui est la nôtre.
D'abord déterminer si vous avez besoin d'un test. Ensuite déterminer lequel
Nous examinons votre situation de départ et vous disons honnêtement si un test d'intrusion est la bonne prochaine étape ou si autre chose passe d'abord. Écrivez-nous à info@cavrix.de.