
Test de pénétration
La discipline reine
Test d’intrusion Red Teaming
Mais toutes vos stratégies de sécurité résistent-elles à une attaque ? De nombreux concepts de sécurité semblent séduisants en théorie, mais échouent dans la pratique. Il est rarement possible d’évaluer lesquelles sont réellement efficaces sans un examen pratique.
Il est temps de vérifier si vos mesures de sécurité sont également amorties.
Vous obtenez ainsi un aperçu réaliste de la capacité de défense et de réaction de votre entreprise.
(s’applique à la zone économique EMEA)
Nous effectuons un contrôle global :
Technique | Nous menons des attaques contre l’informatique de votre entreprise. |
---|---|
Personnes | Nous examinons la manière dont vos collaborateurs réagissent aux attaques réelles de pirates informatiques. La sécurité informatique est-elle vraiment vécue dans le cadre de la culture d’entreprise ? |
Sécurité informatique physique | Nous vérifions comment les bâtiments de votre entreprise, les salles de serveurs ainsi que d’autres installations importantes de votre entreprise sont sécurisés. |
Normes reconnues | Nous travaillons selon des normes reconnues telles que ISECOM OSSTMM, PTES, OWASP Testing Guide ainsi que les directives et recommandations du TIBER-EU Framework de la Banque centrale européenne. En outre, tous nos contrôles de sécurité sont basés sur les recommandations de l’Office fédéral de la sécurité des technologies de l’information. En outre, nos projets sont assurés pour les pertes financières ainsi que pour les dommages corporels et matériels. |
Test de pénétration
Le coût moyen par incident de sécurité était de 3,86 millions de dollars.
(monde entier, année 2018)
Ce que nous savons
C’est pourquoi KALWEIT ITS
En tant qu’entreprise de conseil indépendante spécialisée dans les disciplines de la sécurité informatique, la réalisation de tests d’intrusion fait partie de notre discipline reine. Notre ambition est de réaliser des tests d’intrusion peu automatisés avec une approche transparente et compréhensible. Les exigences spécifiques aux secteurs de la banque ou de la santé ne constituent pas un défi pour nous.
-
- Nous croyons qu'aujourd'hui, la sécurité informatique doit être différente . La sécurité, c'est la confiance dans des solutions indépendantes. La sécurité n'est pas un produit, mais un processus continu. C'est précisément pour cette raison que nous travaillons avec des méthodes de conseil holistiques et que nous considérons les entreprises comme facteur de sécurité global - comme le ferait un attaquant . Parce qu'un concept ne fait pas un système.
-
- Nous travaillons selon des normes reconnues telles que PTES, NIST, OWASP Testing Guide, PCI-DSS, Cyber Kill Chain ainsi que le concept d'exécution pour les tests d'intrusion de l'Office fédéral allemand de la sécurité dans la technologie de l'information. En outre, nos projets sont assurés pour les dommages pécuniaires ainsi que les dommages corporels et matériels.
Nous vous assistons dans tous les types de tests d’intrusion :
- Test de périmètre
- Test client
- Test de délinquance interne
- Tests d’applications web/logiciels d’application/applications mobiles
- Tests de systèmes bancaires de base et de réseaux de détail
- Revue de sécurité
- Tests de calculateurs de moteur
- Tests de dispositifs IoT
- Tests dans l’environnement cloud (AWS, Microsoft Azure ou Google Cloud)
- Tests de solutions de flutter
- Projets de grande envergure avec plus de 400 jours de projet par an
- Forte expertise dans la réalisation de tests d’intrusion dans les secteurs de la banque et de la finance, de la santé, des infrastructures critiques et de la vente au détail.

Cybersécurité automobile
Le processus de numérisation en cours n’épargne pas le monde de l’automobile.
Le nombre croissant d’unités de contrôle électronique (UCE) dans l’automobile, ainsi que la mise en réseau accrue des véhicules (C2X), augmentent également le risque d’accès non autorisé et de manipulation des systèmes critiques pour la sécurité.

Grâce à des connaissances plus approfondies, il est toutefois possible d’utiliser les informations transmises par le bus CAN pour manipuler les fonctions les plus diverses du véhicule ou les utiliser à des fins d’extension des fonctions. La mise en réseau approfondie de différents appareils de commande dans le véhicule permet des fonctions d’avant-garde telles que la conduite autonome, les systèmes de régulation de la vitesse ou encore une navigation améliorée.
Une menace claire et présente
Contrôle de la sécurité informatique
Le contrôle de sécurité informatique offre aux petites et moyennes entreprises une première évaluation de la situation générale en matière de sécurité informatique dans leur propre entreprise.
- Où sommes-nous particulièrement bien placés et où avons-nous encore du retard à rattraper ?
- clarté, savoir exactement ce qu’il reste à faire
- Déterminer quelles sont les mesures indispensables et celles qui ne sont pas très pertinentes.
-
- 2 jours de mise en œuvre avec plusieurs conseillers
- Vérification de la sécurité informatique technique & organisationnelle basée sur la norme VdS 10000
- QuickCheck de la présence de l'entreprise sur le web et des IP externes
- Catalogue de recommandations pour la suite des opérations
- Rapport de gestion (format PDF)
- Entretien final
-
- 3 jours de mise en œuvre avec plusieurs conseillers
- Vérification de la sécurité informatique technique & organisationnelle basée sur la norme VdS 10000
- QuickCheck de la présence de l'entreprise sur le web et des IP externes
- Catalogue de recommandations pour la suite des opérations
- Rapport de gestion (format PDF)
- Entretien final
-
- 4 jours de mise en œuvre avec plusieurs conseillers
- Vérification de la sécurité informatique technique & organisationnelle basée sur la norme VdS 10000
- QuickCheck de la présence de l'entreprise sur le web et des IP externes
- Catalogue de recommandations pour la suite des opérations
- Rapport de gestion (format PDF)
- Entretien final
Recherche OSINT
L’Open Source Intelligence (OSINT) est un terme utilisé dans le domaine du renseignement et décrit une méthode de recherche qui utilise exclusivement des outils passifs pour examiner des données librement disponibles en tenant compte d’un objectif d’application spécifique.
Dans le cadre de la recherche OSINT, nous identifions des ensembles de données compromis tels que des documents confidentiels, des données de connexion ou des informations techniques utiles pour des tentatives concrètes de cyber-attaques de type « kill chain ». Ils donnent une image claire de la situation actuelle de votre entreprise en matière de sécurité informatique. Étant donné que seuls des outils passifs sont utilisés, ce type de contrôle de sécurité peut être facilement réalisé sans enfreindre les dispositions légales (en particulier les § 202a-c, § 303a-b).
Les recherches OSINT peuvent notamment être utilisées comme phase plus détaillée de la collecte d’informations dans le cadre d’un test d’intrusion.
Déroulement des tests
- Premier entretien
- Entretien avec toutes les parties prenantes
- Mise en œuvre
- Documentation
- Évaluation des risques
- Présentation des résultats
Dans le cadre du premier entretien, nous apprenons à mieux vous connaître, vous et votre entreprise. Lors de la deuxième série d’entretiens, nous discutons ensemble de la suite des événements avec tous les décideurs. Il s’agit de déterminer la méthodologie à appliquer pour le test d’intrusion.
Après avoir identifié les vecteurs d’attaque possibles dans le cadre du test d’intrusion et déterminé leur probabilité d’occurrence et le montant des dommages possibles, nous vous présentons les résultats dans le cadre d’un rapport final.
Celui-ci comprend, outre un Management Summary, une description détaillée des risques inhérents et une Proof of Concept, de sorte que vous puissiez reproduire les points faibles en interne avec vos propres experts informatiques.
Les recommandations d’action détaillées constituent le cœur de la documentation. Elles vous permettent de remédier aux points faibles de manière simple et compréhensible.
Indépendamment d’un débriefing gratuit pour clarifier les questions en suspens ou les incertitudes, nous vous proposons également, sur demande, une confirmation de la réussite d’un test d’intrusion. Vous pouvez l’utiliser comme preuve vis-à-vis de vos clients et partenaires commerciaux.
Le rapport final contient les éléments suivants :
- Données cadre du projet (nom du projet, personne de contact, période de test, portée)
- Résumé de la gestion
- Description de la démarche et des méthodes utilisées
- Résumé et évaluation des vulnérabilités identifiées en termes de criminalité (y compris mention des valeurs CVSS et des entrées CVE) et preuve de concept technique
- Description technique détaillée des vulnérabilités / risques inhérents identifiés
- Recommandation de mesures pour remédier à la vulnérabilité ainsi que liste de toutes les vulnérabilités sous forme de tableau (Excel).
Vos contacts
Vous pouvez toujours nous joindre personnellement. Parce que la fidélité du partenaire est bien plus importante pour nous que le succès à court terme.

Inf. dipl. Georg Koch
Partenaire commercial principal
+49 40 285 301 252

Philipp Kalweit
Managing Partner
+49 40 285 301 257