Tests d’intrusion
Testeur d’intrusion
Un test d’intrusion évalue la vulnérabilité des systèmes informatiques et utilise ces failles pour tenter de s’y introduire. Le niveau de risque est le produit de la probabilité que la vulnérabilité soit exploitée par le montant des dommages occasionnés le cas échéant.
La différence entre un test d’intrusion et un audit (contrôle de sécurité) réside dans le fait que les auditeurs ne tentent pas de s’introduire dans un système s’ils y trouvent des vulnérabilités.
Différents ensembles d’informations peuvent être fournis au testeur d’intrusion avant qu’il ne commence l’audit de sécurité. Selon les informations partagées avec le pentesteur, la méthode de test ainsi que les résultats varient.
Nous pouvons lister trois configurations :
- boîte noire (black box)
- boîte transparente (crystal box)
- boîte grise (grey box)
Test d’intrusion en boîte noire (Black Box)
La « boîte noire » signifie simplement que le testeur d’intrusion ne voit rien ; il ne sait pas ce qu’il y a à l’intérieur de la boîte, celle-ci étant la plateforme web de la cible (le client). Le testeur connaît le nom du client et éventuellement une adresse IP ou une URL. Dans cette situation, le testeur devra passer beaucoup de temps à explorer et à rechercher des applications, des sites web et des parties cachées de la plateforme. Le test en boîte noire simule un pirate informatique dit « black hacker » et sensibilise l’organisation aux risques de piratage.
Sans une bonne coordination, il existe un risque que le pentesteur teste une application que le client ne souhaite pas tester, ou pire encore, qui n’appartient pas au client !
Test d’intrusion en boîte transparente (Crystal Box)
La « boîte transparente » signifie que le testeur peut tout voir. Le testeur d’intrusion dispose d’un accès complet à presque toutes les informations dont il a besoin :
– périmètre détaillé (URL, IP, ports)
– détails sur l’application
– un nombre illimité de comptes de test et de données de test
– code source…
La communication entre le testeur et l’organisation doit être excellente, afin que le testeur puisse obtenir des informations correctes sur la plateforme.
Les sociétés de sécurité externes réalisent de plus en plus ce type de test hautement coopératif.
Le défi lors de ce type de test réside principalement dans la communication, et la société de test doit être digne de confiance puisqu’elle aura parfois accès au code source de l’application web.
Ce type de test peut être parfaitement intégré dans le cycle de vie du développement logiciel (SDLC) des applications web.
Test d’intrusion en boîte grise (Grey Box)
Avec le test en boîte grise, le testeur d’intrusion reçoit des informations limitées, se situant entre la boîte noire et la boîte transparente. Généralement, le client fournit un périmètre détaillé de ce qui doit être testé, afin de s’assurer que le test reste dans les limites fixées. Bien que le périmètre ait été clairement défini, la communication entre la société de pentest et le client reste primordiale : il est parfois nécessaire de clarifier certains doutes concernant le périmètre lui-même et, plus généralement, de répondre aux questions qui permettront d’accélérer le test et d’aboutir à de meilleurs résultats.
La boîte grise est le type de test le plus couramment effectué sur les applications web.
L’objectif d’un test d’intrusion est de mettre en évidence les vulnérabilités de la sécurité informatique du client et de montrer où celles-ci peuvent mener si elles sont exploitées à des fins malveillantes.
Le rapport de test d’intrusion d’ID Control fournit :
- une synthèse pour la direction
- les méthodes utilisées lors des tests
- des conseils stratégiques, tactiques et opérationnels sur les risques techniques par application ou serveur
avant le début des tests, les points suivants sont convenus : - quelles plateformes seront testées
- la quantité d’informations
- dont dispose le testeur sur l’organisation
- quand les tests seront exécutés
- qu’ID Control sera dégagé de toute responsabilité concernant les intrusions (numériques).
Les tests d’intrusion peuvent prendre quelques jours selon le nombre de systèmes, d’applications et de serveurs à tester.
Vous souhaitez en savoir plus sur les tests d’intrusion ? Contactez ID Control.
