{"id":4257,"date":"2022-10-17T17:12:14","date_gmt":"2022-10-17T15:12:14","guid":{"rendered":"https:\/\/kalweit-its.de\/mission-de-test-de-penetration-a-quoi-faut-il-faire-attention\/"},"modified":"2023-02-24T10:21:46","modified_gmt":"2023-02-24T09:21:46","slug":"mission-de-test-de-penetration-a-quoi-faut-il-faire-attention","status":"publish","type":"post","link":"https:\/\/kalweit-its.de\/fr\/mission-de-test-de-penetration-a-quoi-faut-il-faire-attention\/","title":{"rendered":"Mission de test de p\u00e9n\u00e9tration : A quoi faut-il faire attention ?"},"content":{"rendered":"\n
Ce \u00e0 quoi il faut veiller lorsqu’on fait appel \u00e0<\/strong><\/p>\n\n test d’intrusion<\/strong><\/p>\n\n Le niveau de menace des cybercriminels ne cesse d’augmenter en Allemagne. Selon le Bundeslagebild Cybercrime<\/strong> publi\u00e9 chaque ann\u00e9e par l’Office f\u00e9d\u00e9ral de la police criminelle (BKA<\/strong>), le nombre de cas enregistr\u00e9s a augment\u00e9 de plus de 12% l’ann\u00e9e derni\u00e8re pour atteindre 146 363. Il ne faut pas oublier de mentionner que les cas augmentent non seulement en quantit\u00e9, mais aussi en qualit\u00e9. Les cybercriminels parviennent ainsi de mieux en mieux \u00e0 s’introduire dans des syst\u00e8mes s\u00e9curis\u00e9s.<\/p>\n\n Par cybercriminalit\u00e9 au sens strict, le BKA entend \u00ab\u00a0les infractions qui visent Internet, les syst\u00e8mes informatiques ou leurs donn\u00e9es\u00a0\u00bb. Il s’agit par exemple d’attaques qui entra\u00eenent une surcharge d\u00e9lib\u00e9r\u00e9ment provoqu\u00e9e du r\u00e9seau d’une institution ou d’une entreprise.<\/p>\n\n Comment les institutions ou les entreprises peuvent-elles s’en prot\u00e9ger ? Quel est le r\u00f4le des tests d’intrusion dans ce contexte et \u00e0 quoi faut-il faire attention lorsqu’on les commande ?<\/strong><\/p>\n\n Les tests d’intrusion (en abr\u00e9g\u00e9 pentest) sont des tests de s\u00e9curit\u00e9 d’ordinateurs individuels ou de r\u00e9seaux de toutes tailles. En contr\u00f4lant autant que possible tous les composants du syst\u00e8me et les applications d’un r\u00e9seau ou d’un syst\u00e8me logiciel, la s\u00e9curit\u00e9 est mise \u00e0 l’\u00e9preuve afin d’identifier les points faibles. Pour ce faire, les m\u00e9thodes utilis\u00e9es sont les m\u00eames que celles qu’utiliserait un v\u00e9ritable agresseur. La sensibilit\u00e9 d’un syst\u00e8me peut ainsi \u00eatre simul\u00e9e dans un sc\u00e9nario proche de la r\u00e9alit\u00e9.<\/p>\n\n Les tests d’intrusion peuvent<\/strong><\/p>\n\n Autres avantages offerts par un test d’intrusion :<\/strong><\/p>\n\n Pour pouvoir comprendre l’attaquant, il faut agir comme un attaquant potentiel. Cette approche permet d’obtenir une meilleure vue d’ensemble des vuln\u00e9rabilit\u00e9s possibles et de la mani\u00e8re dont un attaquant les exploiterait. Ce changement de perspective est important pour pouvoir clarifier des questions sp\u00e9cifiques sur la s\u00e9curit\u00e9 du syst\u00e8me. Les tests d’intrusion sont en outre variables et polyvalents, par exemple pour tester plus explicitement un composant particulier du syst\u00e8me. Il est tout aussi possible d’y ajouter des tests d’ing\u00e9nierie sociale ou des tests physiques, ce qui permet de tester la s\u00e9curit\u00e9 des immeubles de bureaux et les comp\u00e9tences actuelles des collaborateurs en mati\u00e8re de s\u00e9curit\u00e9 informatique. <\/p>\n\n Il existe donc de nombreuses raisons pour lesquelles un pentest est n\u00e9cessaire. \u00c0 premi\u00e8re vue, on a l’impression que les pentests n’offrent que des avantages \u00e0 une organisation, mais qu’en est-il des inconv\u00e9nients \u00e9ventuels ?<\/p>\n\n Quels peuvent \u00eatre les inconv\u00e9nients d’un test d’intrusion ?<\/strong><\/p>\n\n Si les pentests ne sont pas effectu\u00e9s de mani\u00e8re professionnelle, votre entreprise peut subir des dommages importants.<\/p>\n\n Par exemple, il peut y avoir des pannes de certains composants ou m\u00eame de l’ensemble du r\u00e9seau.<\/p>\n\n En outre, des pertes de donn\u00e9es peuvent se produire, par exemple si la base de donn\u00e9es est modifi\u00e9e par une requ\u00eate SQL irr\u00e9fl\u00e9chie.<\/p>\n\n En outre, les informations sur les vuln\u00e9rabilit\u00e9s trouv\u00e9es ou d’autres informations pouvant constituer un vecteur d’attaque peuvent \u00eatre divulgu\u00e9es par l’attaque.<\/p>\n\n C’est pourquoi cela d\u00e9pend beaucoup du fournisseur que l’on choisit. En effet, certaines entreprises vendent sous le terme de test d’intrusion, des scans de s\u00e9curit\u00e9 qui ne correspondent pas \u00e0 la port\u00e9e habituelle d’un test d’intrusion. Cela est souvent d\u00fb \u00e0 des qualifications insuffisantes, \u00e0 des \u00e9conomies de co\u00fbts ou \u00e0 un gain de temps, car les tests d’intrusion durent, en r\u00e8gle g\u00e9n\u00e9rale, au moins deux semaines et sont par cons\u00e9quent co\u00fbteux.<\/p>\n\n La quintessence des inconv\u00e9nients est de v\u00e9rifier aupr\u00e8s du fournisseur s’il propose des tests d’intrusion qualifi\u00e9s. Afin de veiller \u00e0 tout lors du mandatement, cet aspect sera abord\u00e9 plus en d\u00e9tail dans le prochain sous-chapitre. Mais avant de passer \u00e0 la derni\u00e8re \u00e9tape, celle de la commande, il faut encore se demander quand et \u00e0 quelle fr\u00e9quence un pentest est utile.<\/p>\n\n Quand un test d’intrusion est-il utile ?<\/strong><\/p>\n\n En principe, un syst\u00e8me peut \u00eatre test\u00e9 \u00e0 tout moment. Toutefois, il n’est gu\u00e8re judicieux que les pentests soient effectu\u00e9s de mani\u00e8re r\u00e9p\u00e9t\u00e9e sur une infrastructure informatique inchang\u00e9e. C’est pourquoi nous faisons la distinction entre un pentest initial, un pentest cyclique et un pentest minimal.<\/p>\n\n Nous recommandons donc diff\u00e9rentes approches :<\/p>\n\n Premi\u00e8re fois<\/strong>: si le pentest a lieu pour la premi\u00e8re fois, il doit \u00eatre r\u00e9alis\u00e9 de mani\u00e8re approfondie afin de d\u00e9terminer le statu quo actuel de l’organisation. Cela signifie que tous les composants de l’infrastructure informatique doivent \u00eatre examin\u00e9s de mani\u00e8re approfondie et bien document\u00e9s.<\/p>\n\n Cyclique<\/strong>: pour pouvoir maintenir le niveau de s\u00e9curit\u00e9, des pentests r\u00e9guliers sont le meilleur choix. La plupart du temps, un programme de test d’intrusion sp\u00e9cifique est d\u00e9velopp\u00e9 avec l’entreprise de s\u00e9curit\u00e9 informatique. Ce programme est r\u00e9guli\u00e8rement adapt\u00e9 \u00e0 la situation, notamment aux changements, de l’organisation. Cela permet de garantir que toutes les nouveaut\u00e9s r\u00e9sultant de modifications sont suffisamment test\u00e9es.<\/p>\n\n Minimal<\/strong>: chaque organisation devrait effectuer au moins une fois par an un pentest d\u00e9taill\u00e9 sur tous les composants afin de pouvoir bien \u00e9valuer sa propre situation en mati\u00e8re de s\u00e9curit\u00e9 informatique.<\/p>\n\n Dans la pratique, il s’est av\u00e9r\u00e9 utile de proc\u00e9der d’abord \u00e0 un pentest unique, puis de d\u00e9velopper un programme cyclique de tests d’intrusion. Les normes de s\u00e9curit\u00e9 sont ainsi maintenues au plus haut niveau possible et offrent peu ou pas de vecteurs d’attaque \u00e0 un agresseur potentiel. Le principe des tests et les moments o\u00f9 ils doivent \u00eatre effectu\u00e9s sont ainsi d\u00e9finis, mais que faut-il prendre en compte lors de la commande ?<\/p>\n\n A quoi faut-il faire attention en ce qui concerne le mandataire ?<\/strong><\/p>\n\n Ci-dessous, 5 points que les organisations peuvent utiliser comme liste de contr\u00f4le lors du mandatement :<\/p>\n\n Classiquement, les entreprises de s\u00e9curit\u00e9 informatique sont des SARL, des SA ou des SARL & Co KG. Les exceptions confirment la r\u00e8gle – mais il y a aussi quelques points sur lesquels vous devriez vous m\u00e9fier :<\/p>\n\n Il s’agit d’une entreprise tr\u00e8s jeune. Une entreprise qui n’\u00e9tait pas pr\u00eate \u00e0 fournir un apport initial de 25.000 euros ou qui ne le pouvait pas encore. \u00c0 ce stade, nous recommandons de ne commander que des \u00e9tudes de petite taille, dont le volume du projet est inf\u00e9rieur \u00e0 10.000 euros.<\/p>\n\n Les tests d’intrusion peuvent entra\u00eener des dommages, comme indiqu\u00e9 dans les inconv\u00e9nients ci-dessus. Il est possible de r\u00e9duire ce risque en souscrivant une assurance couvrant suffisamment de risques. Avant d’engager une entreprise, il convient d’estimer le montant des dommages et de le comparer avec la somme maximale assur\u00e9e.<\/p>\n\n Si la personne responsable est une personne individuelle plut\u00f4t qu’une personne morale, nous vous recommandons de ne pas la mandater. Il n’existe aucun moyen de prouver l’authenticit\u00e9 d’une personne. La prudence est \u00e9galement de mise pour les GbR. Il n’y a pas d’obligation de s’enregistrer !<\/p>\n\n L’absence de TVA Id. Nr. indique directement que le contractant potentiel n’a r\u00e9alis\u00e9 que tr\u00e8s peu de petits projets au cours de l’ann\u00e9e derni\u00e8re et de l’ann\u00e9e en cours. Il convient d’\u00e9viter de les mandater.<\/p>\n\n Si la qualification de l’entreprise n’est pas prouv\u00e9e, nous d\u00e9conseillons de la mandater ! Seuls ceux qui peuvent pr\u00e9senter les certificats correspondants (p. ex. CSP, CEH, CISSP, OSCP, concepts de mise en \u0153uvre BSI\/PTES\/MITRE Attack Framework, etc.) peuvent effectuer des tests appropri\u00e9s selon certaines normes.<\/p>\n\n Les grands et tr\u00e8s grands prestataires de services informatiques ont certes les moyens financiers et humains de r\u00e9pondre aux exigences de plusieurs activit\u00e9s principales, mais nous recommandons de faire appel \u00e0 des petites et moyennes entreprises pour la r\u00e9alisation d’un test d’intrusion. Celles-ci offrent g\u00e9n\u00e9ralement une plus grande flexibilit\u00e9, des hi\u00e9rarchies plates et la possibilit\u00e9 de mener des projets rapidement.<\/p>\n\n Vous avez trouv\u00e9 une entreprise ayant une forme juridique appropri\u00e9e et disposant du personnel et de l’expertise n\u00e9cessaires pour effectuer un test d’intrusion ?<\/em><\/strong><\/p>\n\n – demandez maintenant une offre.<\/em><\/strong><\/p>\n\n Au moyen d’une adresse IP statique, non seulement le donneur d’ordre peut effectuer un whitelisting, mais il peut aussi voir d’un coup d’\u0153il les attaques et les tests que le preneur d’ordre effectue sur sa propre infrastructure. De plus, gr\u00e2ce \u00e0 la liste blanche, il permet au service informatique du donneur d’ordre de d\u00e9terminer si les attaques d\u00e9tect\u00e9es font partie du test d’intrusion ou s’il s’agit d’une attaque r\u00e9elle.<\/p>\n\n Une personne de contact fixe du c\u00f4t\u00e9 du contractant et du client est importante pour la communication sur l’\u00e9tat actuel du projet. Cela permet de minimiser les efforts et le nombre de r\u00e9unions. Les deux personnes de contact \u00e9changent ainsi entre elles les informations et les questions n\u00e9cessaires et les transmettent, le cas \u00e9ch\u00e9ant, \u00e0 vos coll\u00e8gues pour clarification.<\/p>\n\n Conclusion<\/strong><\/p>\n\n En r\u00e9sum\u00e9, les tests d’intrusion sont indispensables \u00e0 l’\u00e8re num\u00e9rique actuelle ! Le nombre de cas recens\u00e9s par le Bundeslagebild Cybercrime du BKA augmente chaque ann\u00e9e, tandis que le nombre de cas \u00e9lucid\u00e9s reste plus ou moins constant, entre 39 000 et 43 000. Cela signifie que de plus en plus de cas ne peuvent pas \u00eatre r\u00e9solus. Une protection autonome est donc n\u00e9cessaire, dans laquelle les tests d’intrusion jouent un r\u00f4le pr\u00e9pond\u00e9rant, car ils minimisent consid\u00e9rablement le risque d’\u00eatre touch\u00e9 par des cyberattaques. Si vous commandez<\/a> maintenant un test d’intrusion<\/a> en tenant compte des points d\u00e9crits ci-dessus, plus rien ne devrait s’opposer \u00e0 la r\u00e9ussite du pentest et \u00e0 l’am\u00e9lioration de votre niveau de s\u00e9curit\u00e9.<\/p>\n","protected":false},"excerpt":{"rendered":" Ce \u00e0 quoi il faut veiller lorsqu’on fait appel \u00e0 test d’intrusion Le niveau de menace des cybercriminels ne cesse d’augmenter en Allemagne. Selon le Bundeslagebild Cybercrime publi\u00e9 chaque ann\u00e9e par l’Office f\u00e9d\u00e9ral de la police criminelle (BKA), le nombre de cas enregistr\u00e9s a augment\u00e9 de plus de 12% l’ann\u00e9e derni\u00e8re pour atteindre 146 363. […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[13],"tags":[],"class_list":["post-4257","post","type-post","status-publish","format-standard","hentry","category-non-classifiee"],"yoast_head":"\n<\/td><\/tr> <\/td> <\/td><\/tr><\/tbody><\/table><\/figure>\n\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n