Test d’Intrusion Externe

Logo Net4All
Logo Net4All
Test d’Intrusion Externe
 

Le Test de Sécurité Externe (TSE) consiste à éprouver la résistance de votre application métier, application web, Système d’Information (SI), ou infrastructure externe exposé sur l’Internet, face à une menace externe. En essayant de compromettre votre plateforme, nos experts en sécurité informatique repèrent ses vulnérabilités et vous donnent les clés pour les corriger. Vous pouvez ainsi sécuriser votre système, exactement là où il en a besoin.

Test de vulnérabilité : une longueur d’avance sur les pirates

Les vulnérabilités informatiques sont monnaie courante et font partie intégrante du marché du Web. Avec la transformation numérique des entreprises, l’avènement du cloud, la multiplication des applications et services SaaS et donc les interconnexions de plus en plus nombreuses, les risques ne font d’ailleurs que grandir. Les pirates ont de plus en plus d’occasions et de portes d’entrée à exploiter pour compromettre votre Système d’Information.

Même en intégrant la sécurité informatique dès la conception d’un projet, il est impossible d’être certain que tout a été pris en compte : personne n’est infaillible. Le test d’intrusion permet de vérifier la sécurité effective de votre plateforme finale, en conditions opérationnelles. En connaissant vos points faibles, vous pouvez les corriger et donc améliorer la sécurité de votre activité.


Test d’intrusion : des conditions réelles pour une protection optimale

Le test d’intrusion externe, ou Test de Sécurité Externe, consiste à tester la sécurité de votre Système d’Information, application métier ou plateforme web face à des menaces externes.

Cadrage de la mission

La première étape de ce test a pour objectif de cadrer la mission.

Périmètre de la mission, objectifs de résultats, objectifs de moyens, planning, … nos équipes commerciales et techniques définiront avec vous les contours du projet, selon les risques qui pèsent sur votre activité, vos enjeux et vos contraintes de production. Une fois cela contractualisé, notre équipe de consultants sécurité pourra se lancer dans la réalisation du test d’intrusion.

Réalisation de la prestation et restitution des résultats

Nos experts en sécurité informatique se mettent à la place d’un pirate et tentent, par tous les moyens possibles, de s’introduire dans la plateforme que vous souhaitez tester.

Ils essayent de compromettre votre système en y cherchant des failles, de la même manière qu’un pirate pourrait le faire. Ils utilisent alors ces failles pour s’infiltrer aussi profondément que possible dans votre système, si possible jusqu’à l’obtention de données sensibles ou à la prise de contrôle de votre système.

Documentant au fur et à mesure leurs actions, nos experts vous fournissent alors un rapport expliquant comment ils sont parvenus à trouver et exploiter vos vulnérabilités. Ces informations sont accompagnées de recommandations d’actions correctives, que vous devrez mettre en place afin de combler les failles. Votre application, site web ou Système d’Information est ainsi protégé contre les pires compromissions repérées par nos « gentils hackers » !

Nos experts peuvent également être à votre disposition afin de vous accompagner dans la mise en place des actions correctives qu’ils vous ont conseillées.

Bien entendu, contrairement à un pirate informatique, nos experts n’exploiteront pas les failles qu’ils trouveront sur vos systèmes en dehors du contexte de ce test d’intrusion, et ne conserveront pas les données qu’ils auraient éventuellement pu récupérer. L’ensemble des données récoltées vous est restitué en même temps que le rapport final, et ces deux éléments, strictement confidentiels, ne sont partagés qu’entre les référents du projet dans votre entreprise et l’équipe


 

Test de sécurité : deux méthodes pour deux objectifs

Il existe deux méthodes pour réaliser un test d’intrusion externe, correspondant à deux besoins différents.

Test en boite noire

Le test d’intrusion en boite noire est un test réalisé en aveugle. Nos experts ne bénéficient d’aucune information sur le périmètre que vous souhaitez tester, et agissent comme des tiers malveillants qui visent votre site de manière opportuniste. Ces tests peuvent nécessiter beaucoup de temps et ne peuvent pas toujours être exhaustifs, car les experts doivent tester les nombreuses méthodes existantes.

Test en boite grise

Lors d’un test d’intrusion en boite grise, nos experts connaissent quelques informations sur votre système, comme ses mécanismes internes par exemple, ou bien bénéficient d’un accès à votre application avec un compte utilisateur. Cela leur permet d’orienter leurs recherches selon les risques pesant sur votre activité et d’aller plus loin, tout en restant dans une optique réaliste, puisque ces informations auraient pu facilement être récupérées par un pirate.

Ce type de test d’intrusion peut convenir, par exemple, aux serveurs de fichiers, à une connexion VPN, ou tout service accessible par un utilisateur via une authentification pour avoir un premier niveau de privilèges.

 


Quand mettre en place ce type d’audit ?

Tout au long de la vie d’un projet informatique !

En effet le marché du piratage informatique évolue rapidement, de nombreuses failles sont découvertes de jour en jour ; il est donc important de tester son système régulièrement (tous les 1 à 3 ans).

Cependant, certains moments de la vie du projet sont plus critiques et propices pour mettre en place ce type de test d’intrusion, voici quelques exemples non exhaustifs :

  • Au moment du recettage d’un projet informatique, pendant la phase de build et avant sa mise en production
  • A chaque mise à jour majeure, utilisation d’un nouveau protocole réseau, modification majeure de code, ajout d’un nouveau plugin… qui peuvent créer de nouvelles failles de manière totalement invisible
  • Après la suspicion de fuite d’informations / piratage, ou détection d’évènement suspect

Où se réalise le test d’intrusion ?

L’objectif du Test de Sécurité Externe étant d’identifier l’exposition aux risques de piratage informatique de votre système depuis l’extérieur, ces tests d’intrusion sont en général effectués depuis nos bureaux.

Si, pour des raisons qui sont les vôtres, vous désirez que nos experts intègrent les locaux de votre entreprise le temps des tests, nous pourrons étudier cette demande selon l’ampleur de la mission à réaliser.

Vous avez besoin de tester votre Système d’Information ?
Contactez-nous !