SERVICES DE CYBER SECURITE ET TESTS D'INTRUSION

Le test d'intrusion (également connu sous le nom de "pentest") est une attaque simulée et autorisée sur les systèmes informatiques, les réseaux ou les applications Web d'un client pour identifier les vulnérabilités qu'un attaquant peut exploiter. Les organisations se soumettent volontiers à ce test, mené par un expert en cybersécurité, pour obtenir des informations précieuses afin de remédier aux faiblesses ou aux vulnérabilités de leur système.

Il fait aujourd'hui partie intégrante de l'activité de chaque entreprise et la quantité de données critiques stockées sur les systèmes informatiques augmente également la dépendance vis-à-vis d'une infrastructure informatique opérationnelle. Cela conduit à une augmentation de la surface d'attaque et du nombre d'attaques contre les systèmes informatiques sous les différentes formes d'attaques susceptibles de nuire considérablement à une entreprise. Un Pentest vous donne des informations sur les vulnérabilités de vos systèmes, sur la probabilité d'une attaque réussie contre votre infrastructure et sur la manière dont vous pouvez vous protéger contre d'éventuelles failles de sécurité à l'avenir.

Nous proposons les pentests selon 3 approches principales, qui diffèrent par la quantité d'accès et d'informations qui sont mises à notre disposition:

Black Box

Dans cette approche, le seul accès aux plages d'applications/sous-réseaux/IP qui est accordé au testeur est un accès régulier comme n'importe quel client. Le testeur n'a pas accès pour visualiser le code source de l'application ni la configuration des serveurs. Comme son nom l'indique, cette approche traite l'application comme une "boîte noire", c'est-à-dire une boîte scellée dont les fonctionnalités internes ne sont pas visibles.

White Box

Ici, le testeur a accès à tout, le code source de l'application, ses documents de conception et tout autre élément qui, selon lui, aidera au test. À cet égard, le testeur peut comparer le comportement de l'application avec le code source réel, pour comprendre et exploiter les vulnérabilités. Cette approche se concentre sur les défauts profonds et internes du système.

Gray Box

Il s'agit d'un mélange des méthodes ci-dessus. Dans l'approche Gray Box, le testeur peut recevoir des informations sur le système comme les frameworks utilisés, le système d'exploitation des serveurs, etc. Mais généralement, le testeur n'aura pas accès au code source des applications, ni accès en tant qu'administrateur du système. Le testeur et le client prédéfinissent exactement les informations à fournir.

Nous pouvons tester toutes sortes de systèmes, des systèmes sur site aux systèmes basés sur le cloud, des applications Web aux applications mobiles et des petits sites marketing d'une page aux architectures volumineuses et complexes. Les systèmes peuvent être des systèmes externes ainsi qu'un réseau interne. Souvent, les vulnérabilités de sécurité les plus importantes sont indépendantes de la technologie du système, ce qui permet de tester avec succès même des types de systèmes jusque-là inconnus. Nos experts peuvent s'adapter rapidement aux nouvelles situations et aux nouveaux systèmes pour effectuer un travail efficace.

Contrairement aux vrais hackers, nous accordons une grande attention aux systèmes de production d'un client, pour ne pas créer d'interruption de service. Nous faisons toujours tout notre possible pour laisser tous les systèmes indemnes lors d'un test d'intrusion. Les attaques, où le risque de défaillance du système est particulièrement élevé, ne sont effectuées qu'avec le consentement explicite du client.

Dans l'ensemble, il n'est jamais possible d'exclure complètement qu'un système de production rencontre un problème lors d'un test d'intrusion. Pour pouvoir joindre quelqu'un le plus rapidement possible dans une telle situation, des numéros de téléphone d'urgence sont échangés avant le test.

La sécurité et la confiance sont au cœur de nos préoccupations. Notre société s'engage à une confidentialité totale non seulement sur les vulnérabilités qui pourraient être découvertes, mais également sur les données auxquelles nos collaborateurs pourraient avoir accès s'ils parvenaient à accéder à certains de vos systèmes.

Un accord de confidentialité (NDA) qui garantit le caractère confidentiel des données d'un client fait déjà partie de chaque contrat.

Toutes les données des clients, y compris les informations utilisées pour établir un premier devis, sont soumises à la même obligation de confidentialité. À la fin d'un test d'intrusion, toutes les données et tous les supports de stockage éventuels sont soit détruits de manière sécurisée, soit restitués au client.

Pour vous préparer, vous devez d'abord décider de la portée des systèmes cibles pour le pentest. Vous devrez peut-être fournir au testeur des données sur votre système, lui fournir des informations d'identification et il pourra être amené à vous envoyer du matériel qui sera connecté au réseau pour permettre l'accès à celui-ci.

L'investissement en temps pour un test d'intrusion varie d'un cas à l'autre en fonction des systèmes à tester et des exigences de test individuelles. Habituellement, le temps nécessaire varie de quelques jours à plusieurs semaines. L'un des objectifs de la réunion préliminaire est d'obtenir suffisamment d'informations sur les systèmes à tester pour estimer la durée optimale du test d'intrusion.

Au début du processus, nous essayons de nous familiariser avec nos clients et l'étendue des travaux afin de pouvoir créer une proposition précise. Nous recueillons intentionnellement ces informations afin que nous ne revenions jamais demander plus de temps de test (et des coûts supplémentaires). Plus vous êtes prêt à partager d'informations, meilleure sera l'évaluation que nous pourrons fournir.

Certains clients peuvent demander une approche de boîte noire (Black Box) où peu d'informations sont fournies, simulant une attaque et une réponse réelles. Dans ce scénario, nous devons encore saisir la taille/complexité nécessaire pour les tests et avons donc quelques questions de base à résoudre.

Un test d'intrusion doit être effectué au moins une fois par an ou lorsque l'un des événements suivants se produit :

• Modification importante de l'infrastructure ou des applications
• Modification des politiques d'accès des utilisateurs finaux (permissions ou rôles)

Certaines organisations avec un environnement et des applications assez statiques peuvent nécessiter des pentests moins fréquents. Cependant, il peut y avoir des facteurs de conformité ou de réglementation qui peuvent nécessiter des tests annuels.

Chaque client reçoit un rapport détaillé à la fin d'un test d'intrusion. Un rapport typique comprend un résumé non-technique des résultats, pour donner un aperçu court et précis de l'état actuel, suivi d'une explication technique plus détaillée pour les administrateurs, les développeurs ou d'autres membres du personnel technique. Les problèmes individuels énumérés dans le rapport sont accompagnés d'une description détaillée, d'une analyse des risques et des solutions proposées, pour donner directement des suggestions d'amélioration.