Découvrir les fondements du test d'intrusion : cadres méthodologiques (PTES, OWASP, OSSTMM), phases d'un pentest (reconnaissance, analyse, exploitation, post-exploitation, reporting), types de tests (boîte noire/gris/blanc), aspects légaux et déontologiques, et bonnes pratiques.
Connaissances solides en réseaux (TCP/IP, routage, pare-feu), en systèmes d'exploitation (Windows/Linux), et notions de base en cybersécurité (attaques courantes, vulnérabilités).
Un test d'intrusion (ou pentest) est une démarche offensive autorisée et encadrée visant à évaluer la sécurité d'un système d'information en simulant les techniques d'un attaquant réel. Il ne se limite pas à une analyse de vulnérabilités : il exploite activement les failles pour mesurer l'impact réel d'une compromission et tester les mécanismes de défense. Distinction clé : - Audit de vulnérabilité : scan et identification des faiblesses (sans exploitation). - Pentest : exploitation des failles, démonstration de l'impact, vérification des capacités de détection et de réponse.
| Cadre | Éditeur / Origine | Caractéristiques principales |
|---|---|---|
| PTES (Penetration Testing Execution Standard) | Open Source | 7 phases, très détaillé, couvre les aspects techniques et de reporting. Référence historique. |
| OWASP Testing Guide | OWASP (Open Web Application Security Project) | Focalisé sur les applications web, 4 phases, plus de 100 cas de test. Mise à jour régulière. |
| OSSTMM (Open Source Security Testing Methodology Manual) | ISECOM | Approche scientifique, métriques quantitatives (facteurs de risque), couvre physique et humain. |
| NIST SP 800-115 | National Institute of Standards and Technology | Cadre générique pour les tests de sécurité, intégré dans les processus de gestion des risques. |
| CREST | Conseil de l'industrie | Norme professionnelle pour les prestataires de pentest, avec certifications et exigences de qualité. |
Le déroulement typique suit le modèle PTES en 7 phases :
| Phase | Description | Activités principales |
|---|---|---|
| 1. Pré-engagement | Définition du périmètre, des objectifs, des règles d'engagement, des autorisations légales. | Signature de la convention, choix des cibles, horaires, restrictions (ex: pas de DoS). |
| 2. Reconnaissance (OSINT) | Collecte d'informations publiques sur l'organisation, les employés, l'infrastructure. | Recherche DNS, Whois, LinkedIn, Shodan, Google dorks, emails, sous-domaines. |
| 3. Scanning / Découverte | Identification des machines actives, ports ouverts, services et versions. | Nmap, masscan, découverte de répertoires web, analyse des certificats SSL. |
| 4. Analyse des vulnérabilités | Corrélation des services avec des bases de vulnérabilités (CVE, CVSS). | Nessus, OpenVAS, Nikto, analyse manuelle des configurations. |
| 5. Exploitation | Tentative de compromission effective en utilisant les vulnérabilités identifiées. | Metasploit, exploitation manuelle, contournement des WAF, pivoting. |
| 6. Post-exploitation | Maintien de l'accès, élévation de privilèges, collecte de données sensibles, pivot vers d'autres cibles. | Extraction de hashes, pass-the-hash, lateral movement, exfiltration de preuves. |
| 7. Reporting | Rédaction du rapport technique et du rapport exécutif, restitution orale. | Description des vulnérabilités, preuves, recommandations, remédiations prioritaires. |
Exemple de séquence d'exploitation simple (phase 5) : 1. Scan Nmap : découverte du port 445 (SMB) sur 10.0.0.5 2. Vulnérabilité identifiée : EternalBlue (MS17-010) sur Windows 7 3. Exploitation via Metasploit : use exploit/windows/smb/ms17_010_eternalblue 4. Obtention d'un shell Meterpreter avec privilèges SYSTEM 5. Post-exploitation : hashdump, capture de l'écran, installation d'un backdoor
| Type | Informations fournies | Avantages | Inconvénients |
|---|---|---|---|
| Boîte noire | Aucune information (équivaut à un attaquant externe sans accès interne). | Réaliste, mesure la détection par les défenses périphériques. | Couverture limitée, temps d'exploration important. |
| Boîte grise | Informations partielles (ex: architecture, credentials d'un utilisateur standard). | Équilibre entre réalisme et efficacité, test des privilèges internes. | Moins de surprise sur le périmètre. |
| Boîte blanche | Connaissance complète (code source, architecture, accès administrateur). | Très approfondi, détecte les failles logiques complexes. | Moins réaliste car l'attaquant ne possède jamais tout ce savoir. |
Un pentest est illégal sans autorisation explicite. Les prérequis juridiques impératifs sont :
| Exigence | Description | Conséquence en cas d'absence |
|---|---|---|
| Autorisation écrite | Signée par le responsable légal (DG ou RSSI) précisant le périmètre, les dates, les plages horaires, les systèmes cibles, et les techniques autorisées. | Le test est considéré comme une intrusion illégale (cybercriminalité). |
| Clauses de confidentialité | Protéger les données exposées pendant le test (logs, captures d'écran, preuves). | Les données peuvent être divulguées, exposant l'entreprise et le prestataire à des poursuites. |
| Gestion des données personnelles (RGPD) | Le test ne doit pas exfiltrer inutilement des données à caractère personnel ; les captures doivent être anonymisées si nécessaire. | Violation du RGPD, amendes jusqu'à 20 millions d'euros ou 4 % du CA mondial. |
| Assurance professionnelle | Responsabilité civile pour couvrir les dommages accidentels (ex: interruption de service, perte de données). | Le prestataire peut être tenu financièrement responsable en cas de dommage. |
| Principe de non-malfaisance | Ne pas exploiter une faille au-delà du nécessaire pour prouver l'impact ; informer immédiatement l'équipe de sécurité en cas de découverte critique. | Risque de dégradation du système ou de compromission réelle. |
Les pentesters utilisent une distribution spécialisée (Kali Linux, Parrot OS) regroupant des centaines d'outils.
| Phase | Outils emblématiques | Usage |
|---|---|---|
| Reconnaissance | theHarvester, Recon-ng, Shodan, Google Dorks | Collecte d'informations publiques, emails, sous-domaines. |
| Scanning | Nmap, masscan, rustscan, dirb/gobuster (web) | Découverte des machines, ports ouverts, services, répertoires web. |
| Analyse vulnérabilités | Nessus, OpenVAS, Nikto (web), nuclei | Détection des vulnérabilités connues (CVE, CVSS). |
| Exploitation | Metasploit, sqlmap (SQLi), Burp Suite (web), impacket (SMB/AD) | Compromission des systèmes via les vulnérabilités identifiées. |
| Post-exploitation | Mimikatz, Empire, Cobalt Strike, BloodHound | Élévation de privilèges, extraction de données, mouvements latéraux. |
Bonnes pratiques opérationnelles : - Documenter chaque action (logs, captures d'écran, timestamps) pour prouver les accès. - Isoler les sessions (VPN dédié, machine de test séparée). - Tester hors des heures de production pour limiter l'impact. - Vérifier systématiquement la cible (pas de test sur des IP hors périmètre). - Utiliser des mots de passe et outils propres à la mission (pas de reprise de configuration perso).
Exemple de commande Nmap pour une reconnaissance rapide et furtive : nmap -sS -sV -O -T4 -p- -oA scan_complet -Pn 192.168.1.0/24 -sS : SYN scan (furtif) -sV : détection de versions -O : détection OS -T4 : vitesse aggressive -p- : tous les ports (1-65535) -oA : sortie dans tous les formats -Pn : supposé hôte actif (ne pas pinger)
✅ Réponse : Reconnaissance (OSINT)
✅ Réponse : OWASP Testing Guide
✅ Réponse : Aucune information préalable sur l'infrastructure
✅ Réponse : Post-exploitation et reporting
✅ Réponse : Metasploit
✅ Réponse : Disposer d'une autorisation écrite du propriétaire des systèmes
✅ Réponse : Corréler les services détectés avec les bases CVE et évaluer la criticité
✅ Réponse : BloodHound
✅ Réponse : Les traiter de manière confidentielle, les anonymiser dans le rapport, et ne les conserver que le temps nécessaire
✅ Réponse : L'audit se limite à la détection, le pentest exploite activement les failles pour mesurer l'impact