Méthodologie
Un test d’intrusion se prépare, se conduit et se restitue selon une méthode écrite. Voici comment se déroule une mission, étape par étape, et ce que vous obtenez à chacune.
Sept étapes, de la première question au retest
La méthode s’adapte à chaque prestation : un audit de configuration ne se déroule pas comme une simulation de phishing. Ses principes restent les mêmes : un cadre écrit, des tests maîtrisés, des résultats expliqués.
-
Cadrage
Définition du périmètre, des objectifs, des contraintes et des règles d’engagement.
Un échange direct permet de comprendre votre contexte et vos attentes, puis de fixer par écrit le périmètre, les dates, les contacts d’urgence et ce qui est autorisé ou exclu.
- Ce que vous fournissez
- Vos objectifs, le périmètre envisagé, vos contraintes d’exploitation.
- Ce que vous obtenez
- Proposition détaillée et règles d’engagement.
-
Préparation
Organisation des accès, collecte des informations nécessaires et préparation de l’environnement de test.
Les comptes, accès et informations nécessaires sont réunis avant le début des tests, afin que le temps de mission soit consacré à l’analyse.
- Ce que vous fournissez
- Comptes de test, accès, documentation utile, autorisations des tiers.
- Ce que vous obtenez
- Environnement prêt, fenêtres de test confirmées.
-
Tests d’intrusion
Identification, validation et analyse des vulnérabilités.
Les tests sont essentiellement manuels. Chaque vulnérabilité est validée pour écarter les faux positifs. Une faille critique découverte en cours de mission est signalée sans attendre le rapport, selon les modalités convenues au cadrage.
- Ce que vous fournissez
- Un interlocuteur joignable pendant les tests.
- Ce que vous obtenez
- Vulnérabilités validées, preuves collectées.
-
Analyse des risques
Évaluation de l’impact des vulnérabilités et de leurs possibilités d’exploitation.
Chaque vulnérabilité est évaluée selon sa facilité d’exploitation et son impact, puis notée (CVSS). La priorité de correction tient compte de votre contexte réel, pas seulement du score.
- Ce que vous fournissez
- Le contexte métier des systèmes concernés.
- Ce que vous obtenez
- Risques qualifiés et priorisés.
-
Rapport
Restitution détaillée des vulnérabilités et recommandations de remédiation.
Le rapport s’adresse à deux lectorats : une synthèse exécutive pour la direction, un détail technique reproductible pour les équipes.
- Ce que vous fournissez
- Rien : c’est le livrable.
- Ce que vous obtenez
- Rapport complet, cyberscore global lorsqu’il est pertinent.
-
Restitution
Présentation des résultats, des priorités et des actions recommandées.
Une réunion permet d’expliquer les résultats, de répondre aux questions de chacun et de valider l’ordre des corrections.
- Ce que vous fournissez
- Les équipes techniques et les décideurs concernés.
- Ce que vous obtenez
- Plan de correction partagé.
-
Retest
Vérification des corrections apportées.
Après vos corrections, les vulnérabilités sont testées à nouveau ; le rapport est mis à jour pour refléter l’état réel.
- Ce que vous fournissez
- La liste des corrections appliquées.
- Ce que vous obtenez
- Rapport mis à jour.
Boîte noire, grise ou blanche
Le niveau d’information fourni à l’auditeur change la nature du test. Le choix dépend de la question à laquelle vous voulez répondre.
-
Boîte noire
Aucune information préalable
L’auditeur part de ce qui est visible, comme un attaquant externe. Réaliste, mais une partie du temps est consacrée à la découverte.
-
Boîte grise
Un compte ou un accès standard
Reproduit un utilisateur malveillant ou un poste compromis. C’est souvent le meilleur compromis entre réalisme et couverture.
-
Boîte blanche
Documentation, architecture, voire code source
Couverture la plus complète pour un même temps de test : l’effort porte sur l’analyse plutôt que sur la découverte.
Règles d’engagement
Avant le premier test, un document fixe ce qui est autorisé et dans quelles conditions. Il protège vos systèmes autant que la mission.
- Périmètre
- Systèmes, applications et adresses inclus, et ce qui est explicitement exclu.
- Calendrier
- Dates et créneaux de test, y compris les plages réservées aux tests sensibles.
- Contacts
- Un interlocuteur de chaque côté, joignable pendant les tests, et une procédure en cas d’incident.
- Actions autorisées
- Ce qui peut être tenté, ce qui nécessite un accord préalable, ce qui est interdit.
- Données
- Traitement, conservation et suppression des informations collectées pendant la mission.
Livrables et cyberscore
Le rapport est conçu pour deux lectorats. La direction y trouve le niveau de risque et les décisions à prendre ; les équipes techniques, de quoi reproduire, comprendre et corriger chaque vulnérabilité.
- §1
Synthèse exécutive
Le niveau de risque, les points critiques et les décisions à prendre, sans jargon.
- §2
Analyse des risques
L’impact de chaque vulnérabilité au regard de votre activité, pas seulement de son score.
- §3
Vulnérabilités identifiées
Description, systèmes concernés, score CVSS, conditions d’exploitation.
- §4
Preuves techniques
Captures, requêtes et étapes de reproduction, pour que vos équipes vérifient par elles-mêmes.
- §5
Recommandations
Corrections concrètes, adaptées à vos technologies, avec des alternatives lorsqu’il en existe.
- §6
Priorisation
Un ordre de traitement réaliste : ce qui doit être corrigé maintenant, puis ensuite.
Une note de A à E résume l’exposition du périmètre testé, pour situer le risque d’un coup d’œil. Sélectionnez une note pour en lire la définition.
Note A · Exposition maîtrisée
Aucune vulnérabilité exploitable significative identifiée sur le périmètre testé.
Note B · Exposition faible
Vulnérabilités mineures, sans impact majeur sur l’activité.
Note C · Exposition modérée
Vulnérabilités exploitables à l’impact limité, ou nécessitant des conditions particulières.
Note D · Exposition élevée
Vulnérabilités exploitables permettant un accès significatif aux systèmes ou aux données.
Note E · Exposition critique
Compromission possible de systèmes ou de données majeurs.
| Sévérité | Nombre | Proportion |
|---|---|---|
| Critique | 0 | |
| Élevée | 2 | |
| Moyenne | 4 | |
| Faible | 3 |
Le cyberscore décrit l’exposition d’un périmètre à la date de l’audit. Ce n’est ni une certification, ni une garantie.
Parlons de votre périmètre.
Décrivez votre besoin en quelques lignes : vous recevez une première réponse sous 24 heures ouvrées, puis un échange de cadrage sans engagement.