Audit de vulnérabilités et tests d'intrusion
Détecter les menaces potentielles qui pèsent sur votre activité telle est notre mission !
Stratégie de gestion des vulnérabilités
Audit de vulnérabilités ou pentests, améliorez votre gestion des vulnérabilités et veillez à votre conformité règlementaire PCI DSS, HDS ou autre.
Les cyber-attaques se font de plus en plus menaçantes pour les entreprises ou collectivités. Elles sont de plus en plus sophistiquées et la transformation numérique accentue la surface d’exposition.
Votre entreprise ou votre collectivité dispose de données sensibles ou personnelles. Ces données transitent très probablement via internet. Votre structure utilise des services de messagerie, de partage de fichiers, de communication unifiée, de marketing, etc.
Préconisés ou exigés par un certain nombre de méthodologies, normes et de réglementations, comme l’ISO/EIC 27001 ou encore PCI DSS, les audits de vulnérabilités (ou scan de vulnérabilités) et le « pentest » (ou test d’intrusion) ont pour objectif d’analyser les systèmes d’informations exposés pour en détecter les vulnérabilités.
Audit de vulnérabilités
Contrôlez votre conformité en identifiant les vulnérabilités de votre application, de votre système d'exploitation, de votre infrastructure
Tests d'intrusion
Mesurez la maturité et la robustesse de votre infrastructure en simulant l'attaque d'un utilisateur mal intentionné ou d'un logiciel malveillant.
Audit de vulnérabilités
L’audit de vulnérabilités (ou scan de vulnérabilités) est une prestation qui permet d’identifier les vulnérabilités d’une application, d’un système d’information ou d’une infrastructure.
Se basant sur un référentiel des vulnérabilités connues et enrichi par nos propres découvertes, le scan de vulnérabilité fait partie intégrante de la palette d’outils de la gestion de vulnérabilités (Vulnerability Management).
L’audit de vulnérabilités applicatives (ou scan de vulnérabilités) permet d’identifier les vulnérabilités de vos applications. Il permet de mettre en évidence des erreurs de développement ou de configuration de votre stack applicatif.
Il se base sur un référentiel de vulnérabilités connues dont le top 10 de l’OWASP
- Broken Access Control
- Cryptographic Failures
- Injection
- Insecure Design
- Security Misconfiguration
- Vulnerable and outdated components
- Identification and authentication failures
- Software and data integrity failures
- Security logging and monitoring failures
- Server-side Request forgery
L’audit de vulnérabilités (ou scan de vulnérabilités) de votre infrastructure permet de détecter les vulnérabilités de vos systèmes, vos réseaux …
Il vous permettra d’identifier les composants obsolètes, les erreurs de configuration, etc.
Le maintien en condition de sécurité est un enjeu majeur pour les entreprises, collectivités et leur DSI.
Les tests d'intrusion ou pentests
Un accompagnement atout support complément à vos outils de sécurité
Les cyber-attaques se font de plus en plus menaçantes pour les entreprises ou collectivités.
Votre entreprise ou votre collectivité dispose de données sensibles ou personnelles.
Elle est très probablement raccordée à internet et utilise des services de messagerie, de partage de fichiers, de communication unifiée, de marketing, etc.
Préconisée ou exigé par un certain nombre de méthodologies, normes et de réglementations, comme l’ISO/EIC 27001 ou encore PCI DSS, le « pentest » ou test d’intrusion a pour objectif d’analyser l’infrastructure informatique et simuler l’attaque d’un utilisateur mal intentionné ou d’un logiciel malveillant.
Interne ou externe ?
Externe
Ce type d’audit peut être réalisé sur des cibles externes de l’entreprise (sites web accessibles sur internet, API publiques…). Le pentester réalise ses tests à distance, depuis une simple connexion internet. Il simulera des attaques d’acteurs malveillants, de manière anonyme.
Interne
Il peut être aussi réalisé en interne, depuis les locaux de l’entreprise. Dans ce contexte, le pentester simulera des actions malveillantes depuis l’intérieur de l’entreprise. Le but est de mesurer le risque de compromission par un collaborateur, un partenaire ou un prestataire de l’entreprise.
Une fois le périmètre déterminé, il convient de choisir quel type de pentest va être réalisé
Black Box
Une approche « Black Box » ou « Boîte Noire » consiste à évaluer le niveau de sécurité de la cible en ne disposant d’aucune information. Dans un tel contexte, l’auditeur se positionne comme n’importe quel acteur malveillant. Ce type d’approche nécessite de la méthodologie et du temps pour explorer la cible.
La spécificité de cette approche est qu’elle n’est pas orientée. N’importe quel équipement ou application accessible depuis internet sera audité.
Grey Box
Une approche « Grey Box » ou « Boîte Grise » permet d’optimiser le temps et la surface d’attaque. Le pentester reçoit une quantité limitée d’information permettant de cadrer le périmètre. Ainsi le pentester se concentrera sur ce périmètre.
Cependant, que le test d’intrusion soit en approche « Black Box » ou « Grey Box« , la communication entre l’entreprise et l’auditeur est un élément clé.
Il sera nécessaire de recadrer le périmètre, de gérer les incidents, etc. afin que le résultat soit le plus pertinent et le plus riche pour le client.
Qu’il s’agisse de faire un état des lieux ou bien d’une étape de la livraison de nouveaux produits, le pentest (ou test d’intrusion) est nécessaire à l’évaluation de votre niveau de sécurité. Il vient compléter votre dispositif de cybersécurité.
Une évolution logique : la red team et la blue team
Les tests d’intrusion sont généralement limités dans le temps. C’est pourquoi il faut monter 2 équipes pour minimiser le temps des tests tout en maximisant les compétences de chacun.
