Test d’intrusion informatique : définition, objectifs & méthode

Sommaire

Partager sur :

Vous doutez des performances de votre politique de sécurité informatique ? Avez-vous déjà pensé aux tests d’intrusion, ou pentests ? Vous ne savez pas ce que c’est ? Vous tombez bien ! Nous allons vous apporter des précisions sur ces tests qui s’appuient sur les méthodes réelles des hackers. Ils permettent de trouver et de tester les failles de votre système informatique afin de mettre en place une stratégie de sécurité adaptée à votre entreprise.

Découvrez tout de suite ce qu’est un test d’intrusion, comment il se déroule, et comment choisir un prestataire qualifié.

Qu’est-ce qu’un test d’intrusion informatique ou “Pentest” ? [Définition]

Le pentest, aussi appelé test d’intrusion, est un test complet d’un système informatique (réseau complet, serveur, application ou adresse IP). Le test d’intrusion vise à mesurer avec précision les failles et les risques réellement encourus à l’instant T. Ce test simule les pratiques couramment utilisées par les pirates informatiques (ou hackers) et par les logiciels malveillants (malwares), pour s’introduire dans un système afin de voler ou de détruire des données.

À l’issue de ces tests, le testeur, ou plus exactement le pentester, établira un rapport des failles qu’il a rencontrées et qu’il a pu exploiter. Ces failles doivent être rapidement corrigées, car elles constituent un risque réel pour le système informatique analysé.

Quelles différences entre un test d’intrusion et un audit de sécurité ou un scan de vulnérabilité ?

On différencie le pentest d’un audit de sécurité et d’un scan de vulnérabilité. Le premier vise à examiner une infrastructure informatique et les méthodes de sécurité mises en place, et à s’assurer que ces dernières répondent aux normes et aux bonnes pratiques en vigueur. Le scan de vulnérabilité de son côté équivaut à l’une des étapes du test d’intrusion, puisqu’il vise à détecter les failles existantes, sans les exploiter concrètement.

Le test d’intrusion va plus loin que ces deux méthodes. Il a pour but d’exploiter les failles détectées pour atteindre les données d’un système informatique, comme le ferait un hacker. Le testeur identifie ainsi clairement les dangers d’une telle intrusion (perte de données, défaillance ou destruction du système informatique, vol d’informations sensibles, etc…).

Dans quels cas faire un test d’intrusion informatique ?

Les cybers attaques sont plus que jamais d’actualité. Leur nombre est en perpétuelle croissance, elles ont doublé en quelques années. Elles peuvent prendre différentes formes. La plupart du temps, les hackers ont un objectif économique, et visent le vol de données bancaires, ou le raçonnage. Les rançongiciels (ransomwares) permettent aux hackers de verrouiller des données sensibles de votre entreprise, et de vous réclamer une rançon pour vous redonner accès à celles-ci.

Globalement, effectuer un Pentest ou Test d’intrusion a pour objectifs :

De déceler les vulnérabilités effectives de votre système ;
De mesurer les conséquences que pourraient avoir une cyberattaque sur votre entreprise ;
De mettre en place des mesures de sécurité correctives adaptées à votre système informatique et aux failles détectées ;
D’être en conformité avec les normes RGPD et autres référentiels de sécurité de plus en plus adoptés, comme ISO/IEC 27001 ou le NIS2 pour les secteurs concernés.

À noter :

Il existe des assurances qui couvrent les risques cybers, consultez notre guide sur les assurances dédiées aux cubers attaques.

Les différents types de tests d’intrusion

Les tests d’intrusion revêtent 3 différents types de mises en situation :

La boîte noire (blackbox test) : le pentester est dans la peau d’un hacker potentiel sans information préalable.
La boîte grise (greybox test) : le testeur possède un nombre limité d’informations : souvent un identifiant utilisateur et un mot de passe.
La boîte blanche (whitebox test) : le consultant en intrusion informatique possède toutes les informations dont il a besoin concernant votre système informatique.

Si l’objectif final reste la sécurité globale de votre système informatique, l’approche est bien différente.

La boîte noire

La méthode de la boîte noire consiste donc à faire appel à un professionnel qui agit à la manière d’un véritable pirate informatique. Avec pour seule information le nom de votre entreprise, il tentera par tous les moyens de pénétrer dans votre système, et d’atteindre vos données, sans que vous ne lui donniez le moindre accès préalable.

Vous ne serez d’ailleurs pas prévenu du test d’intrusion. Vos équipes informatiques peuvent alors éventuellement détecter l’intrusion et agir en conséquence. Ces réactions feront partie des méthodes de sécurité évaluées par le testeur.

C’est une mise en situation très concrète, qui permet de mettre en évidence les failles de votre système de sécurité informatique, et les risques réels que vous encourez si un hacker décidait de vous attaquer.

La boîte grise

Ici, la mise en situation part d’un principe différent : l’attaquant possède les codes d’accès de l’un des utilisateurs de votre SI. Il s’infiltre ensuite dans le système informatique de votre entreprise grâce à cette authentification, et tente à nouveau d’atteindre toutes les données sensibles de votre réseau.

Le testeur identifie alors les risques liés notamment à la gestion des droits d’accès de vos différents profils d’utilisateurs, à la possibilité d’escalade de privilèges, et à l’exposition potentielle via des applications SaaS ou des accès distants, de plus en plus courants dans les organisations modernes.

La boîte blanche

La stratégie de la boîte blanche simule le type de cyber attaque la plus redoutable : le hacker s’est procuré toutes les informations utiles concernant votre infrastructure informatique et/ou votre site web. Un hacker peut avoir obtenu ces informations via l’installation d’un logiciel espion, via une surveillance physique (espionnage), ou par une tierce personne lui ayant fourni ces informations.

Le pirate accède donc sans problème à toutes les informations souhaitées, et peut les copier, ou les détruire à volonté. Ici les risques liés au stockage de données seront notamment montrés du doigt, ainsi que l’utilité de crypter les informations sensibles.

Dans ce cas, le testeur possède donc tous les mots de passe, et toute la documentation technique de votre SI. Il travaillera en collaboration avec votre équipe informatique pour tester chaque élément de votre infrastructure.

Comment se déroule un test d’intrusion informatique concrètement ?

D’une manière générale, un test d’intrusion comprend plusieurs étapes fondamentales, qui peuvent être enrichies selon les standards actuels :

La reconnaissance
Le mapping ou l’inventaire
Discovery ou l’identification des vulnérabilités
L’exploitation des vulnérabilités

Étape #1 : La reconnaissance, ou l’obtention des informations de base sur la cible

Durant cette phase, le pentester recueille toutes les informations possibles sur l’infrastructure à tester (l’adresse IP, le type de matériel et les technologies utilisés, et le type de données disponibles sur le SI).

Ces informations peuvent être facilement accessibles dans le domaine public (site internet de l’entreprise, les réseaux sociaux, ou articles lui étant consacrés). Tout comme les hackers, le pentester dispose d’outils spécialisés, tels que Nmap, Burp Suite, ou encore des plateformes d’automatisation de tests d’intrusion comme Cobalt Strike ou des solutions cloud natives, qui sont de plus en plus utilisées pour accélérer et fiabiliser la collecte d’informations sur les cibles.

Étape #2 : Le mapping, la recherche active de toutes les informations sur le système informatique

Le mapping, aussi appelé l’inventaire, consiste à approfondir les recherches de la phase de reconnaissance. Le pentester va regrouper le maximum d’informations concernant le système à analyser. Il cherchera à détecter les accès au serveur, notamment pour les connexions à distance, les technologies utilisées, le système de sécurité en place, etc.…

À partir des résultats obtenus, le pentester identifie les failles potentielles à évaluer sur votre système informatique.

Étape #3 : Discovery, la recherche des vulnérabilités

À l’aide d’outils spécifiques, ou manuellement, le pentester cherche à détecter les vulnérabilités réelles de votre système informatique (un port ouvert, un antivirus mal paramétré, l’absence d’une mise à jour, un accès sans mot de passe…). Cette phase équivaut à un scan de vulnérabilité. Elle va donc permettre de vérifier si les éventuelles failles identifiées précédemment représentent effectivement un risque au sein de votre infrastructure informatique.

Pour commencer, les principaux risques de sécurité informatique identifiés par l’OWASP (Open Web Application Security Project), notamment à travers l’OWASP Top 10, sont systématiquement testés. De plus, les pentesters s’appuient désormais sur des référentiels complémentaires comme le MITRE ATT&CK, de plus en plus adopté pour cartographier les techniques d’attaque réelles. Ensuite, le pentester cherchera d’autres vulnérabilités existantes au sein de votre système informatique, afin de s’assurer qu’aucun risque ne soit écarté.

Etape #4 : L’exploitation des vulnérabilités et l’évaluation de leur impact sur votre entreprise

Après avoir trouvé toutes les failles de votre infrastructure informatique, le testeur va tenter de les utiliser pour s’introduire dans votre système. Il cherchera à atteindre vos données critiques par tous les moyens. Grâce aux informations obtenues précédemment, il sera en mesure de passer vos protocoles de sécurité, ou d’évaluer leurs performances.

Il pourra alors identifier les données qui courent un risque d’intrusion, et le degré de danger pour l’entreprise. Tous ces risques seront ensuite répertoriés dans un rapport détaillé qui vous sera remis à l’issue de tous les tests d’intrusion réalisés. Les corrections à apporter à votre sécurité informatique vous seront également indiquées.

Vous avez peur pour vos données ?

Découvrez aussi nos conseils pour sécuriser les données de votre entreprise.

Trouver un prestataire informatique pour réaliser votre test d’intrusion

Un test d’intrusion ne peut être effectué que par un professionnel expérimenté. Non seulement il faut des connaissances élevées en informatique, mais il faut également que le prestataire soit à l’affût des pratiques de piratage informatique en constante évolution. Votre prestataire doit être en mesure de détecter toutes les failles possibles, et de proposer des solutions concrètes à chacune d’entre elles.

Par exemple, Axido propose, entre autres, des services complets de sécurité informatique. Ils réalisent des tests d’intrusion et des audits de sécurité afin de mettre en place au sein de votre entreprise une politique de sécurité contre les intrusions, et d’assurer la conformité de votre SI avec les RGPD.

Les 300 collaborateurs expérimentés d’Axido sont répartis au sein de 14 agences en France, et agissent auprès des TPE, PME et ETI. Forts de plus de 20 ans d’expérience en informatique, ils suivent de près les évolutions en matière de piratage informatique. Il sont en mesure d’adapter leurs stratégies d’intrusion et d’utiliser les bons outils pour tester la sécurité de votre parc informatique, de vos adresses IP et de votre réseau.

Votre système d’information est-il bien protégé ? Avez-vous déjà réalisé des tests d’intrusion dans votre entreprise ? Si ce n’est pas le cas, ne tardez pas à prendre contact avec un prestataire qualifié.

Pour aller plus loin :

Si le sujet des cybers risques vous intéresse, je vous invite fortement à parcourir ces articles :

Questions fréquentes

En quoi un test d’intrusion diffère-t-il d’un audit de sécurité classique ?

Sur le terrain, la différence saute vite aux yeux : alors qu’un audit de sécurité liste et analyse les vulnérabilités de façon exhaustive, le test d’intrusion se focalise sur la simulation active d’attaques réelles. Quand on l’a mis en place chez des clients, on s’est rendu compte que, contrairement à l’audit où tout reste théorique, le test d’intrusion pousse les équipes à réagir face à un scénario concret. Typiquement, on découvre des failles d’exploitation qui passaient inaperçues sur un simple audit documentaire. Une PME industrielle nous a confié qu’après plusieurs audits rassurants, c’est le pentest qui a réellement révélé des accès inattendus sur des serveurs exposés. Le test d’intrusion, c’est donc bien plus qu’un diagnostic : c’est une répétition générale face à une vraie menace.

Quels sont les objectifs concrets qu’on peut attendre d’un test d’intrusion ?

Sur le terrain, les objectifs d’un test d’intrusion vont bien au-delà d’un simple état des lieux. D’après notre expérience, les entreprises cherchent surtout à mesurer leur capacité de détection et de réaction, mais aussi à prioriser les correctifs sur les failles les plus critiques. Chez l’un de nos clients, un groupe du secteur bancaire, le pentest a permis d’identifier des failles insoupçonnées dans des applications internes, là où la DSI pensait avoir tout sécurisé. Autre point souvent constaté : la prise de conscience au niveau des équipes opérationnelles, qui voient en direct l’impact d’une exploitation malveillante. C’est ce côté concret qui motive les directions à réinvestir dans la sécurité.

À quoi faut-il s’attendre pendant la réalisation d’un test d’intrusion ?

La première fois qu’on lance un test d’intrusion, les équipes sont souvent surprises par le côté méthodique et itératif de la démarche. En général, la phase de collecte d’informations (reconnaissance) prend plus de temps que prévu, notamment chez des clients avec des SI complexes. Ensuite, la phase d’exploitation peut révéler des points faibles imprévus : chez un client e-commerce, par exemple, c’est une erreur de configuration banale sur un serveur web qui a ouvert la porte à une escalade de privilèges. Un point crucial : la communication entre pentesteurs et IT doit rester fluide pour éviter tout risque de perturbation des services.

Combien de temps dure en général un test d’intrusion et quels sont les facteurs qui influencent sa durée ?

Sur le terrain, un test d’intrusion classique varie de quelques jours à plusieurs semaines selon la taille du périmètre et la complexité du SI. Chez plusieurs de nos clients multisites, la multiplication des applications et des environnements rallonge sérieusement la durée. À l’inverse, sur un périmètre cloud bien cadré, certains pentests sont menés en une petite semaine. Beaucoup sous-estiment le temps pris par les phases de préparation et de restitution, qui sont pourtant essentielles pour bien contextualiser les résultats et cadrer les actions correctives.

Quels résultats tangibles obtient-on après un test d’intrusion et comment les exploiter ?

Ce que les clients apprécient le plus, c’est le rapport détaillé : il ne se contente pas de lister les vulnérabilités mais hiérarchise les risques selon leur impact métier. Dans la pratique, on a vu des clients mettre en œuvre des correctifs prioritaires sous 48h après la restitution, notamment quand une faille critique touche un service exposé. Un autre bénéfice, rarement anticipé, c’est la montée en compétence interne : plusieurs équipes IT ont profité du débrief pour structurer leurs processus de gestion des incidents. Le test d’intrusion sert donc aussi d’accélérateur de maturité en sécurité.