Comprendre les étapes structurées d'un test d'intrusion, le cadre légal indispensable, et la différence avec une simple utilisation d'outils d'attaque.
Niveau avancé
⏱️ 20 min
📁 Cybersécurité avancée
🎯 Objectifs de la fiche
- Cadre légal : l'autorisation avant tout — Sans accord écrit, c'est une infraction pénale
- Les types de pentest — Boîte noire, grise, blanche
- Les 5 grandes phases d'un test d'intrusion — Reconnaissance, scan, exploitation, post-exploitation, rapport
- Le rapport de pentest — Ce qui distingue un bon rapport d'une simple liste d'outils
- Lien avec les ateliers cybersécurité déjà réalisés — nmap, Wireshark, Metasploit replacés dans une démarche complète
Prérequis
Avoir réalisé les ateliers cybersécurité de base (nmap/nikto, OWASP/DVWA, ARP, Metasploit) et connaître les notions de menace/vulnérabilité/risque (fiche cybersécurité défensive).
1. Cadre légal : l'autorisation avant tout
Tester l'intrusion dans un système sans autorisation explicite et écrite du propriétaire
constitue une infraction pénale en France, quelle que soit l'intention (même
« pédagogique » ou « pour aider »). Un test d'intrusion professionnel commence toujours
par un document d'autorisation précisant le périmètre exact testé, les dates, et les
limites à ne pas dépasser.
⛔ Scanner ou tenter d'exploiter un système qui ne vous appartient pas, ou pour lequel vous n'avez pas d'autorisation écrite explicite, est strictement interdit — y compris par curiosité ou dans un cadre scolaire informel.
2. Les types de pentest
| Type | Connaissance initiale du système | Réalisme |
|---|
| Boîte noire (black box) | Aucune information fournie à l'avance | Proche d'une attaque externe réelle |
| Boîte grise (grey box) | Informations partielles (ex: un compte utilisateur standard) | Proche d'une menace interne ou d'un compte compromis |
| Boîte blanche (white box) | Accès complet (code source, schémas réseau) | Audit approfondi, exhaustif |
3. Les 5 grandes phases d'un test d'intrusion
Un pentest structuré suit une méthodologie reproductible, bien au-delà du simple lancement d'outils au hasard.
| Phase | Objectif | Outils déjà vus en atelier |
|---|
| 1. Reconnaissance | Collecter des informations sur la cible (passive et active) | nmap, recherche OSINT |
| 2. Scan et énumération | Identifier les services, versions, vulnérabilités potentielles | nmap, nikto |
| 3. Exploitation | Tenter d'exploiter une vulnérabilité identifiée | Metasploit, DVWA |
| 4. Post-exploitation | Évaluer ce qu'un accès obtenu permettrait réellement (pivoting, élévation de privilèges) | Analyse manuelle, Wireshark |
| 5. Rapport | Documenter, hiérarchiser les risques, recommander des corrections | Aucun outil — rédaction structurée |
ℹ️ L'exploitation réussie d'une vulnérabilité n'est jamais la fin du test : un attaquant réel chercherait ensuite à étendre son accès (post-exploitation), c'est cette étape qui détermine l'impact réel du risque identifié.
4. Le rapport de pentest
Ce qui distingue un test d'intrusion professionnel d'un simple exercice technique, c'est
la qualité du rapport final. Un bon rapport ne se limite pas à lister les vulnérabilités
trouvées : il les hiérarchise par criticité réelle, explique l'impact métier concret, et
propose des recommandations correctives priorisées.
| Élément du rapport | Contenu attendu |
|---|
| Synthèse exécutive | Résumé non technique pour la direction : risque global, urgence |
| Détail technique par vulnérabilité | Description, preuve de concept, criticité (ex: score CVSS) |
| Impact métier | Ce que cette vulnérabilité permettrait concrètement à un attaquant |
| Recommandations priorisées | Quoi corriger en premier, et pourquoi |
💡 Une vulnérabilité critique techniquement mais sur un système isolé sans donnée sensible peut avoir un impact métier faible — c'est cette mise en perspective qui distingue un rapport utile d'une simple liste technique.
5. Lien avec les ateliers cybersécurité déjà réalisés
Les ateliers de cybersécurité (nmap/nikto, OWASP/DVWA, bettercap/ARP, Metasploit) couvrent chacun une phase précise de cette méthodologie. Cette fiche les relie dans une démarche d'ensemble cohérente, plutôt que comme des outils isolés.
💡 Pour le portfolio de professionnalisation, présenter un atelier cybersécurité en le replaçant explicitement dans cette méthodologie (« j'ai réalisé la phase de scan avec nmap, dans le cadre d'un test structuré ») valorise bien davantage la démarche qu'une simple mention d'outil.
Que faut-il obligatoirement obtenir avant de réaliser un test d'intrusion ?
- Rien, si l'intention est pédagogique
- Une autorisation écrite explicite précisant le périmètre testé
- Un simple accord verbal suffit toujours
- Aucune autorisation n'est nécessaire sur un réseau de test
✅ Réponse : Une autorisation écrite explicite précisant le périmètre testé
Quel type de pentest correspond à une connaissance complète du système (code source, schémas) ?
- Boîte noire
- Boîte grise
- Boîte blanche
- Aucun type ne correspond à cette description
✅ Réponse : Boîte blanche
Quelle phase d'un pentest vise à évaluer ce qu'un accès obtenu permettrait réellement ?
- Reconnaissance
- Scan et énumération
- Post-exploitation
- Rapport
✅ Réponse : Post-exploitation
Qu'est-ce qui distingue principalement un test d'intrusion professionnel d'un simple exercice technique ?
- Le nombre d'outils utilisés
- La qualité et la structuration du rapport final
- La durée du test uniquement
- Le prix facturé
✅ Réponse : La qualité et la structuration du rapport final
Pourquoi mettre en perspective l'impact métier d'une vulnérabilité, même techniquement critique ?
- Ce n'est jamais utile
- Parce qu'une vulnérabilité critique sur un système isolé peut avoir un impact réel faible
- Parce que l'impact métier remplace toujours la criticité technique
- Parce que c'est une obligation purement administrative
✅ Réponse : Parce qu'une vulnérabilité critique sur un système isolé peut avoir un impact réel faible
- ANSSI — Guide relatif aux tests d'intrusion — https://www.ssi.gouv.fr/
- OWASP Testing Guide
- Légifrance — Article 323-1 du Code pénal (accès frauduleux à un système) — https://www.legifrance.gouv.fr/