Audit de sécurité d’infrastructure et de cloud
Là où le test d’intrusion simule une attaque, l’audit d’infrastructure examine la configuration elle-même : comment vos systèmes, vos équipements et vos environnements cloud sont paramétrés, et ce qui devrait l’être autrement.
- Pour
- DSI · Exploitation
- Livrables
- Rapport et restitution
- Interlocuteur
- V. Erudel, OSCP
En quoi consiste la prestation
L’audit porte sur les configurations : systèmes d’exploitation, services, équipements réseau, accès d’administration (SSH, VPN), gestion des identités et des droits (IAM), stockage. Les écarts sont relevés au regard des bonnes pratiques reconnues et de l’usage réel de vos systèmes.
Pour les environnements cloud (AWS, Azure, GCP), l’attention porte en priorité sur les identités et leurs droits, l’exposition des ressources et la journalisation.
Objectifs
- Relever les écarts de configuration susceptibles d’être exploités.
- Réduire les droits et les accès au strict nécessaire.
- Vérifier l’exposition des ressources cloud.
- Établir un plan de durcissement applicable par vos équipes.
Ce qui peut être audité
Le périmètre exact est défini avec vous lors du cadrage, en fonction de vos objectifs et de vos contraintes.
- Systèmes
- Serveurs Windows et Linux, services, comptes et correctifs.
- Réseau
- Pare-feux, segmentation, VPN, accès d’administration.
- Cloud
- AWS, Azure, GCP : identités et droits (IAM), stockage, exposition, journalisation.
- Accès d’administration
- SSH, bastions, comptes de service, gestion des secrets.
Déroulement de la mission
Chaque étape est convenue à l’avance. La méthodologie complète détaille ce que vous fournissez et ce que vous obtenez à chaque étape.
-
Cadrage
Systèmes concernés, référentiels attendus, modalités d’accès en lecture.
-
Collecte
Récupération des configurations, accès en lecture aux consoles et équipements.
-
Analyse
Revue des configurations et vérification ciblée des écarts relevés.
-
Rapport
Écarts classés par risque, recommandations de durcissement.
-
Restitution
Présentation du plan de durcissement et de son ordre de mise en œuvre.
Livrables
- Synthèse exécutive
- Écarts de configuration classés par niveau de risque
- Recommandations de durcissement détaillées
- Plan d’action ordonné
Ce que vous y gagnez
- Une base de configuration plus saine, durablement.
- Moins de droits excessifs, donc moins de surface d’attaque.
- Un plan de travail concret pour vos équipes d’exploitation.
Questions sur cette prestation
Toutes les questions Quelle différence avec un pentest interne ?
Le pentest interne démontre ce qu’un attaquant peut atteindre ; l’audit d’infrastructure passe en revue les configurations de manière plus systématique. Les deux approches se complètent souvent.
Quels accès faut-il prévoir ?
En général, des accès en lecture suffisent : comptes d’audit sur les consoles cloud, exports de configuration, accès aux équipements. Aucun accès en écriture n’est nécessaire pour l’analyse.
Expertises liées
- Pentest interne Ce qu’un attaquant ou un poste compromis peut atteindre une fois à l’intérieur, jusqu’à l’Active Directory.
- Pentest externe Ce qu’un attaquant voit et peut exploiter depuis Internet : services exposés, accès distants, applications publiques.
- Pentest applicatif Applications web et API : authentification, droits d’accès, injections et failles de logique métier.
Un projet de audit d’infrastructure ?
Décrivez votre contexte en quelques lignes : vous recevez une première réponse sous 24 heures ouvrées, puis une proposition détaillée après un échange de cadrage.