Un test d’intrusion est une forme d’audit de sécurité informatique qui consiste à tenter de pirater un système (application web, serveurs, réseau d’entreprise…) en utilisant les mêmes outils qu’un réel attaquant.
Cependant, contrairement à ces derniers, nous allons effectuer cette prestation dans un cadre précis défini avec le client et en prenant des précautions particulières afin de nuire le moins possible au système audité et aux données qu’il héberge.
Cette discipline est appelée « Ethical Hacking », le Hacking Ethique, notre but étant ici de découvrir des problèmes de sécurité afin de vous aider à bien les identifier, les comprendre et les corriger.
Suis-je une cible pour les pirates
Dans notre métier, on entend souvent ce genre de choses : « Pourquoi des pirates voudraient-ils m’attaquer, je suis trop petit » ou « De toute façon, mon parc informatique n’est pas joignable depuis internet, il faut déjà être dans mon parc pour m’attaquer » ou encore « De toute façon, je n’héberge aucune donnée personnelle sur mon site, il n’y a pas d’intérêt à m’attaquer ».
Cependant, il faut bien comprendre que personne n’est à l’abri d’une attaque informatique et ceci pour plusieurs raisons.
D’une part, de nombreuses attaques sont menées par des scripts automatisés qui tenteront d’exploiter tout un tas de failles de sécurité, peu importe la taille de la cible.
D'autre part, un système d’information même injoignable depuis internet peut être piraté de beaucoup de manières différentes : un collaborateur malveillant, une clé USB piégée, un virus envoyé par email, une intrusion physique…
Ensuite, même si vous n’en avez pas forcément conscience, les cybercriminels trouveront souvent un moyen de tirer profit d’une attaque réussie, que vous soyez petit ou non. Par exemple, ils pourront effectivement voler vos données pour les revendre ou vous demander une rançon, ils pourront chiffrer votre système et vous demander de payer pour le récupérer, ou encore ils pourront se servir de votre plateforme pour héberger des fichiers illégaux (piratage de films/séries, contenu pédopornographique…) ou pour s’en servir de vecteur d’attaque pour tenter d’atteindre d’autres cibles qui vous sont liées (clients, partenaires, autres systèmes d’information que vous détenez…).
Réaliser un test d’intrusion
Afin de se protéger autant que possible des attaques informatiques, il est nécessaire de sécuriser au maximum ses systèmes et applications.
Le test d’intrusion est une arme qui peut s’avérer très efficace pour améliorer sa sécurité.
En effet, lorsqu’on développe une application ou que l’on met en place un système ou un service, il est possible de passer à côté de certains problèmes de sécurité, même avec les bons moyens et des équipes compétentes. Ceci est souvent dû au fait que de nouvelles vulnérabilités ou de nouveaux moyens de les exploiter sont découverts tous les jours et qu’il faut être correctement formé et équipé pour les découvrir. C’est pourquoi il est recommandé de faire auditer ses systèmes et applications afin d’y découvrir leurs potentiels problèmes de sécurités.
En outre, les tests d'intrusion permettent également de valider les mesures de sécurité mises en place. Cela permet de s'assurer que ces mesures fonctionnent comme prévu et qu'elles sont efficaces face à des attaques réelles.
Comment se déroule un test d’intrusion ?
Les tests d’intrusions réalisés par Secureaks se déroulent en plusieurs points.
Tout d’abord, nous définissons ensemble un plan d’action afin d’auditer votre cible en fonction de vos besoins et de votre budget.
Ensuite, une fois que nous avons contractualisé la prestation, nous planifions les tests, qui seront effectués à des horaires précis définis avec vous. Nous effectuons ensuite l’audit à proprement parlé, qui consiste concrètement à chercher des failles de sécurités et à tenter de les exploiter, afin d’en évaluer la criticité et l’impact. Durant cette phase, nous restons en contact avec vous afin de vous notifier du début et de la fin des tests, et pour vous prévenir au plus vite en cas de problème.
Une fois l’audit terminé, nous rédigeons un rapport qui contient toutes les découvertes et les éléments permettant de les comprendre et de les reproduire, ainsi que des pistes pour vous aider à les corriger.
Une présentation du rapport est ensuite effectuée en visioconférence par un des consultants qui a effectué l’audit. Cela vous permet donc, en plus de prendre connaissance des découvertes, d’échanger avec nous. Le rapport vous est également transmis de manière sécurisée.
Nous contacter
Si vous avez besoin de plus d’informations ou si vous souhaitez échanger sur ces sujets, n’hésitez pas à nous contacter.