Le problème
La plupart des organisations disposent déjà de résultats de scan. Ces outils produisent des listes longues, souvent redondantes, parfois fausses, et surtout muettes sur l’essentiel : parmi ces centaines de lignes, lesquelles permettent réellement d’entrer, et jusqu’où.
Le résultat est connu : des équipes qui corrigent au fil de l’eau sans certitude d’avoir traité ce qui comptait, et une direction incapable de répondre simplement à la question « sommes-nous exposés, et à quoi ».
Les enjeux et les risques
Une application exposée sur Internet, un service d’accès distant mal configuré ou un annuaire interne trop permissif suffisent à transformer une intrusion ponctuelle en compromission générale. Les conséquences se mesurent rarement en termes techniques : interruption d’activité, perte ou divulgation de données, fraude, atteinte à la réputation, et parfois mise en cause de la responsabilité des dirigeants.
À l’inverse, surinvestir sur des vulnérabilités sans portée réelle consomme un budget qui aurait dû aller ailleurs. L’enjeu d’un test d’intrusion est autant de hiérarchiser que de détecter.
La prestation
Nous réalisons des tests d’intrusion et des évaluations de sécurité sur un périmètre défini avec vous. Selon le besoin, l’intervention porte sur :
- les applications web et leurs interfaces de programmation, y compris la logique métier que les outils automatisés ne couvrent pas ;
- les infrastructures exposées sur Internet : services publiés, accès distants, configuration des équipements de bordure ;
- l’environnement interne : segmentation, droits, annuaire, circulation possible d’un poste compromis vers les systèmes sensibles ;
- les applications mobiles et les services qu’elles consomment ;
- l’identification, la qualification et la hiérarchisation des vulnérabilités découvertes ;
- l’analyse des risques associés, rapportés à vos activités et non à une échelle abstraite ;
- les recommandations de remédiation, puis la vérification de leur efficacité.
Les tests sont réalisés sous autorisation écrite du responsable des systèmes concernés, selon un périmètre explicite et dans le respect des règles d’engagement convenues avant le démarrage. Les actions susceptibles de dégrader un service en production sont identifiées à l’avance et ne sont menées qu’avec votre accord exprès.
Notre méthode
- Cadrage. Définition du périmètre, du niveau d’information fourni, des fenêtres d’intervention, des contacts d’urgence et de la conduite à tenir si un incident réel est détecté pendant la mission.
- Reconnaissance. Cartographie de la surface réellement accessible, qui diffère presque toujours de celle que l’organisation croit exposer.
- Identification. Combinaison d’outils et d’analyse manuelle. L’analyse manuelle est l’essentiel du travail : c’est elle qui trouve les défauts de logique et les enchaînements.
- Exploitation encadrée. Démonstration de l’impact réel, sans dépasser ce qui a été autorisé et sans altération des données.
- Analyse des chemins. Reconstitution des enchaînements qui font passer d’un défaut mineur à une compromission significative.
- Rédaction et restitution. Un rapport, puis une séance de travail avec vos équipes pour s’assurer que chaque constat est compris et reproductible.
- Contre-vérification. Campagne ciblée sur les correctifs appliqués, afin de confirmer que le risque est levé et qu’aucune régression n’a été introduite.
Les livrables
- un rapport technique détaillé : constats, preuves, conditions de reproduction, portée et correctifs proposés ;
- une synthèse destinée à la direction, lisible sans compétence technique, centrée sur l’exposition et l’effort à engager ;
- un plan de remédiation hiérarchisé, distinguant ce qui doit être traité immédiatement de ce qui relève du plan d’amélioration ;
- un rapport de contre-vérification après correction ;
- une attestation de réalisation indiquant le périmètre testé et la période d’intervention, utile auprès de vos clients, de vos assureurs ou d’un auditeur.
Ce que cela change
Vous disposez d’une réponse étayée à la question de votre exposition, et d’un ordre de traitement défendable devant un comité. Vos équipes techniques travaillent sur des constats reproductibles plutôt que sur des alertes génériques. Et vous pouvez démontrer, preuves à l’appui, que le sujet a été traité sérieusement.
Prochaine étape
Décrivez le périmètre envisagé et le contexte : systèmes concernés, contraintes d’exploitation, échéance. Nous revenons vers vous avec une proposition de cadrage, le type de test adapté et les modalités d’intervention.