Quel type de test d’intrusion vous convient le mieux ?

Les tests d'intrusion s'avèrent être un outil essentiel pour toute entreprise souhaitant évaluer la robustesse de ses protocoles de sécurité.

En simulant des attaques réelles, votre équipe de sécurité informatique peut non seulement mettre en lumière les points faibles de vos systèmes, mais également comprendre comment les exploiter et, surtout, comment corriger les failles de sécurité détectées. Si vous êtes intéressé par une analyse détaillée des étapes impliquées, notre guide dédié aux phases des tests d'intrusion vous apportera un éclairage précieux.

Qu'il s'agisse d'un test interne ou externe, un test d'intrusion va imiter différentes voies d'attaque. Dans le cas d'une simulation d'attaque externe, un attaquant distant va tenter de révéler des informations accessibles à des tiers. Une attaque interne, menée après une attaque externe, vise à identifier ce qu'un pirate pourrait faire une fois qu'il a obtenu un accès à votre système de l'intérieur.

En fonction des objectifs fixés pour le test, l'évaluateur peut avoir ou non une connaissance préalable de l'environnement testé. Si l'évaluateur possède une connaissance approfondie du système, il s'agit d'un test "boîte blanche". Dans d'autres cas, le test peut se concentrer sur des aspects spécifiques tels que les applications, les services réseau, l'ingénierie sociale, les réseaux sans fil ou même la sécurité physique.

Quel que soit le type de test d'intrusion choisi, un test bien mené permettra de mettre en évidence les vulnérabilités et de renforcer les zones faibles de votre système. Toutefois, choisir le test le plus approprié pour votre organisation peut s'avérer complexe, surtout compte tenu du grand nombre d'options disponibles.

Cet article propose une vue d'ensemble des différents types de tests d'intrusion, en expliquant ce que chacun implique et dans quelles situations ils sont les plus pertinents. En conclusion, vous trouverez des conseils pour sélectionner le test d'intrusion le plus adapté aux besoins spécifiques de votre entreprise.

Tests de pénétration des applications Web

Source: synopsys.com

Ce type de test d'intrusion vise à identifier les vulnérabilités spécifiques aux sites web et aux applications web, telles que les plateformes de commerce électronique, les systèmes de gestion de la relation client et les systèmes de gestion de contenu.

En examinant la sécurité, les fonctionnalités personnalisées et les fonctionnalités logiques de base d'une application, ce test révèle des moyens de prévenir les intrusions, les pertes financières et l'usurpation d'identité. Avant le début des tests, l'évaluateur reçoit un ensemble d'applications à tester, des champs de saisie à analyser et un inventaire des pages statiques et dynamiques, ce qui permet d'évaluer plus facilement les failles de conception et de développement.

Les vulnérabilités les plus courantes dans les applications web sont les scripts intersites (XSS), l'injection SQL et les problèmes d'authentification. Pour approfondir vos connaissances en matière de sécurité web, vous pouvez consulter les ressources de l'Open Web Application Security Project (OWASP), une excellente référence en la matière. OWASP publie des informations sur la fréquence et la gravité des faiblesses web, basées sur des données recueillies auprès de milliers d'applications.

Si votre entreprise exploite des ressources web, il est vivement conseillé d'envisager des tests de pénétration web. Dans de nombreuses organisations modernes, les applications web sont indispensables pour stocker et transmettre des informations. Pour ces modèles d'exploitation, les tests web sont essentiels. Les statistiques montrent que la cybercriminalité a augmenté depuis le début de la pandémie de Covid-19.

Tests de pénétration du réseau

Source: synopsys.com

Les tests d'intrusion réseau sont des audits de sécurité ciblés sur l'infrastructure réseau, qu'elle soit hébergée sur site ou dans le cloud. En effectuant une série de vérifications, comme les vulnérabilités de chiffrement, les correctifs de sécurité manquants et les configurations non sécurisées, ces tests valident la sécurité des données critiques de l'entreprise.

Dans ce contexte, vous pouvez opter pour des tests internes ou externes. Lors d'un test externe, l'évaluateur n'a aucune connaissance préalable du système et utilise Internet pour obtenir les informations que les pirates utiliseraient lors d'une attaque. Dans le cas d'un test interne, l'accent est mis sur l'accès à votre réseau interne. Par exemple, l'évaluateur peut exploiter les failles des systèmes connectés à Internet et tenter d'accéder à des informations ou de perturber les opérations.

Les tests d'intrusion réseau permettent de protéger votre entreprise contre les attaques réseau courantes, telles que les erreurs de configuration, les contournements de pare-feu, les attaques de routeur, les attaques au niveau du système de noms de domaine (DNS), les attaques de bases de données et les attaques de serveur proxy. Un test réseau est recommandé si votre activité implique la transmission d'importantes quantités de données. Compte tenu de l'importance des services réseau pour une entreprise, il est judicieux d'effectuer des tests réseau au moins une fois par an.

Tests de pénétration des applications mobiles

Dans le cadre des tests d'intrusion sur les applications mobiles, on examine les applications sur différents systèmes d'exploitation (Android et iOS) et leur interaction avec les API. Les tests les plus pertinents décompilent le code source d'une application pour recueillir le maximum d'informations possible.

Dans ce cas, l'analyse se concentre sur l'architecture de l'application – pour la décompiler avant d'effectuer des tests manuels, afin d'identifier les problèmes de conception et de communication réseau non sécurisée. L'objectif est également d'examiner la manière dont les données sont traitées, stockées et sécurisées – afin de garantir la conformité, étant donné que la plupart des applications stockent des données sensibles comme les mots de passe et les clés API. Enfin, l'authentification et la gestion de session sont analysées en profondeur – en surveillant les processus tels que la fin de session, la validité des jetons, les mises à jour de mots de passe et les erreurs de configuration de l'authentification multi-facteurs.

Si votre entreprise met l'accent sur le développement d'applications mobiles, notamment pour les jeux, les services financiers ou le commerce en ligne, il est judicieux de prévoir des tests d'intrusion avant de lancer un produit pour le grand public ou de déployer de nouvelles mises à jour.

Tests de pénétration sans fil

Les tests sans fil ciblent le réseau sans fil de votre organisation et les appareils qui y sont connectés. Ces appareils peuvent inclure des smartphones, des tablettes, des ordinateurs et d'autres appareils de l'Internet des objets (IoT).

Grâce à ces tests d'intrusion, vous pouvez évaluer les niveaux de sécurité de vos systèmes sans fil, détecter et exploiter les vulnérabilités, comprendre les menaces potentielles au niveau de chaque point d'accès, et développer des stratégies de remédiation basées sur des données factuelles.

Avant de commencer les tests, il est nécessaire de définir précisément le périmètre, en identifiant les réseaux invités, les réseaux sans fil et les identifiants d'ensemble de services (SSID) à examiner. Bien que le processus repose en grande partie sur le matériel, il peut également être réalisé à l'aide d'outils logiciels dans des systèmes d'exploitation open source comme Kali Linux. Pour une politique de sécurité efficace, les entreprises peuvent effectuer des tests sans fil deux fois par an.

Tests de pénétration des API

Les tests d'intrusion des API (parfois menés en parallèle des microservices) ont pour objectif d'identifier les faiblesses des API. Ce type de test gagne en popularité, car de plus en plus d'entreprises permettent à des tiers d'accéder à certaines de leurs données et services.

Ces tests permettent de vérifier que les API (GraphQL, REST, services web et autres) sont sécurisées et exemptes de vulnérabilités connues. Le processus de test des API est similaire à celui des tests web, et il est possible d'utiliser des outils comparables. Cependant, des outils spécifiques comme Postman et Swagger peuvent également être utilisés.

Pour en savoir plus, vous pouvez consulter notre liste de contrôle des outils de développement et de test d'API. Ces outils s'appuient souvent sur le modèle d'une API, puis des requêtes API schématiques sont créées et envoyées au produit.

Si votre entreprise utilise des applications web ou mobiles avec un backend API, effectuer régulièrement des tests d'API permet de détecter les problèmes d'exposition ou de conception de code qui pourraient servir de points d'entrée pour les attaquants.

Tests d'intrusion d'ingénierie sociale

Contrairement aux autres techniques qui se concentrent sur les failles technologiques, l'ingénierie sociale exploite la psychologie humaine pour compromettre la sécurité de votre organisation.

Ces tests sont précieux car ils permettent d'identifier les vulnérabilités, de mesurer la sensibilisation à la sécurité, de former les employés, d'atténuer les risques, d'améliorer la réponse aux incidents, de garantir le respect des réglementations, de renforcer la confiance des parties prenantes et d'assurer une gestion des risques efficace en termes de coûts.

Les techniques d'attaque les plus courantes comprennent le prétexte, l'hameçonnage (phishing), les attaques physiques, la suppression de médias et le talonnage. Les tests d'ingénierie sociale sont basés sur les informations recueillies lors de la phase de reconnaissance, où le renseignement open source joue un rôle important.

L'évaluateur peut ainsi construire une image précise de la cible et adapter son attaque en utilisant les méthodes les plus appropriées. Bien qu'il ne soit pas aussi courant que les tests web, l'ingénierie sociale peut être un excellent moyen d'identifier les faiblesses de vos modèles opérationnels.

Tests d'intrusion de sécurité physique

Les tests de sécurité physique consistent à accéder physiquement à un lieu afin de vérifier l'efficacité des mesures de protection existantes et d'identifier les vulnérabilités. Contrairement aux autres types de tests d'intrusion, ceux-ci portent sur les dispositifs de sécurité physique tels que les systèmes d'alarme, les contrôles d'accès et les zones contenant des informations sensibles.

Pour effectuer ces tests, des techniques telles que le contournement physique, le talonnage et l'ingénierie sociale peuvent être utilisées. Les résultats obtenus lors de ces tests permettent ensuite de définir un plan d'action pour corriger les vulnérabilités et améliorer les mesures de sécurité existantes.

Si votre organisation a une présence physique, et notamment si elle stocke des données et d'autres informations sensibles, il est conseillé d'effectuer des tests d'intrusion pour renforcer la sécurité physique. Ce type de test est particulièrement pertinent pour les banques et institutions financières, les centres de données, les administrations publiques, les hôpitaux et établissements de santé, les commerces de détail et centres commerciaux, les usines de fabrication et les organisations certifiées.

Tests de pénétration du cloud

Les tests de pénétration du cloud consistent à identifier et à exploiter les vulnérabilités des applications et des infrastructures, comme les solutions SaaS, sur les plateformes cloud telles que Microsoft Azure, Amazon Web Services (AWS) et Google Cloud Platform.

Contrairement à d'autres types de tests, les tests d'intrusion dans le cloud nécessitent une connaissance approfondie des services cloud. Par exemple, une faille de type SSRF dans les applications AWS peut compromettre l'ensemble de votre infrastructure cloud.

Avec d'autres solutions cloud, notamment Azure AD et AWS Cognito, des problèmes spécifiques de configuration peuvent survenir. Les vulnérabilités courantes du cloud comprennent les API non sécurisées, les informations d'identification faibles, les configurations de serveur incorrectes, les logiciels obsolètes et les mauvaises pratiques de codage.

Les tests d'intrusion dans le cloud peuvent renforcer la sécurité de votre environnement cloud si votre entreprise propose des services cloud. La plupart des fournisseurs de cloud adoptant un modèle de responsabilité partagée, les tests cloud peuvent aider à corriger les vulnérabilités de la plateforme, de ses réseaux et du stockage des données.

Tests de pénétration des conteneurs

Les conteneurs sont connus pour leur capacité à isoler les applications et à simplifier la gestion des environnements. Ils peuvent exécuter des microservices, des processus logiciels et même des applications volumineuses. En plus d'examiner les conteneurs du point de vue d'un pirate, les tests de pénétration de conteneurs permettent de déployer des environnements de test personnalisés.

Lors de la recherche de vulnérabilités, deux options sont possibles : l'analyse statique, qui recherche les faiblesses dans les images de conteneurs, et l'analyse dynamique, qui examine le comportement du conteneur en cours d'exécution. Pour de meilleurs résultats, il est recommandé de réaliser les deux types d'analyses.

Les vulnérabilités des conteneurs peuvent affecter les applications, la configuration, le réseau et le système d'exploitation de l'image. Si votre approche DevOps s'appuie sur Docker pour les tests d'intrusion, vous pouvez personnaliser vos conteneurs, les enrichir avec les outils nécessaires, réduire les vulnérabilités et améliorer les fonctionnalités.

Tests d'intrusion de bases de données

Les bases de données sont d'une importance cruciale pour les entreprises. Contenant des données sensibles telles que les informations de paiement, les données client et les informations sur les produits et les prix, elles constituent un point faible si leur sécurité est compromise. Pour garantir une sécurité adéquate, des tests sont effectués avant la mise en ligne d'une nouvelle base de données et régulièrement pour celles qui sont déjà en production.

En simulant des tentatives d'accès à la base de données comme le ferait un pirate, et en appliquant les meilleures pratiques du secteur, les tests de base de données vous montrent comment gérer les attaques réelles.

Les menaces courantes sur les bases de données comprennent les injections SQL, les privilèges illimités, les pistes d'audit médiocres, les sauvegardes exposées, les erreurs de configuration, les attaques par déni de service (DoS) et la mauvaise gestion des données. Les tests révèlent les vulnérabilités de votre base de données et garantissent que toutes les informations sensibles sont protégées contre les intrus. C'est pourquoi il est essentiel d'investir dans la sécurité des bases de données.

Tests de pénétration IoT

L'Internet des objets (IoT) est un réseau d'appareils connectés qui communiquent et échangent des données via Internet. Ces appareils comprennent des objets physiques, des véhicules et des bâtiments intégrés à des logiciels, des capteurs, des composants électroniques et des connexions réseau.

Les tests de pénétration de l'IoT se concentrent sur l'analyse du réseau et des appareils IoT afin d'identifier les failles de sécurité. De plus, les tests de sécurité vont au-delà des appareils pour inclure le réseau de communication, par exemple les plateformes de cloud computing.

Les principales failles de sécurité des appareils IoT sont les données non chiffrées, les microprogrammes non sécurisés, les mots de passe faibles et une mauvaise authentification/contrôle d'accès. À mesure que les entreprises adoptent de plus en plus d'appareils IoT, les audits IoT renforcent la gestion des actifs, des performances, des risques et permettent de répondre aux exigences de conformité.

Tests d'intrusion en boîte blanche

Pour les tests en boîte blanche, vous disposez d'une connaissance approfondie du système cible, incluant l'architecture de l'application, les codes sources, les informations d'identification, la liste blanche, les rôles des différents comptes et la documentation.

Cette approche permet de réduire les coûts associés aux tests. Les tests en boîte blanche sont particulièrement adaptés aux systèmes complexes qui exigent un niveau de sécurité élevé, comme les entreprises financières et les institutions gouvernementales. En assurant une couverture complète du code, vous pouvez identifier les erreurs internes.

Si vous êtes victime d'une intrusion, les tests en boîte blanche sont le meilleur moyen d'évaluer la sécurité des applications, l'état du réseau, la sécurité physique et la sécurité sans fil. Dans d'autres cas, vous pouvez envisager un test en boîte blanche dès les premières phases de développement du logiciel et avant sa mise en production.

Tests d'intrusion en boîte noire

Dans le cas des tests en boîte noire, vous n'avez aucune connaissance préalable du système et vous adoptez une approche similaire à celle d'un pirate informatique. Puisque vous n'avez pas accès au code source ou au schéma d'architecture, vous utilisez une approche externe pour exploiter le réseau. Cela signifie que le test repose sur une analyse dynamique des systèmes et des programmes en cours d'exécution sur le réseau cible.

Pour réussir, vous devez être familier avec les outils d'analyse automatisée et les méthodes de test d'intrusion manuel. Vous devrez également construire votre propre cartographie de la cible en fonction de vos observations. Cette approche permet d'effectuer rapidement des tests, et le temps nécessaire dépendra de votre capacité à détecter et à exploiter les vulnérabilités. Toutefois, si vous ne parvenez pas à pirater le système, les vulnérabilités ne seront pas identifiées.

Bien que ce soit l'un des tests les plus difficiles, c'est le meilleur moyen d'évaluer la sécurité globale de votre système. On parle parfois de tests par essais et erreurs, qui exigent un haut niveau d'expertise technique.

Test de l'équipe rouge

Le test d'équipe rouge ressemble au test d'intrusion, mais il va plus loin, car il simule une attaque menée par un véritable pirate, sans limitation de temps. Dans ce type de test, on combine différents outils, tactiques et techniques pour accéder à un système ou à des données cibles.

Alors que tous les autres tests d'intrusion visent à exposer les vulnérabilités, les tests d'équipe rouge évaluent la capacité des équipes de défense à détecter les menaces et à y répondre. La détection peut être basée sur des indicateurs de systèmes de surveillance compromis, des tests d'évaluation physique ou même des techniques d'ingénierie sociale. Vous pouvez considérer les tests d'équipe rouge comme plus complets que les tests d'intrusion classiques.

Toutefois, contrairement aux tests d'intrusion, les tests d'équipe rouge ne couvrent pas l'ensemble des vulnérabilités. Leur objectif est de parvenir à un accès à un système ou à des données cibles. Une fois cet objectif atteint, ils ne recherchent pas d'autres faiblesses, contrairement aux tests d'intrusion où toutes les vulnérabilités doivent être identifiées.

Choisir le bon test de pénétration

Il est important de bien comprendre tous les types de tests existants afin de choisir celui qui convient le mieux à votre organisation. En fonction de vos besoins, vous pouvez sélectionner l'approche qui correspond le mieux à votre flux de travail.

Si vous utilisez des applications web, les tests web sont les plus appropriés. Les tests API sont une option pertinente si vous proposez des API et des services backend. Et la liste continue, avec les tests cloud pour les fournisseurs de services cloud.

La liste ci-dessus devrait vous fournir un bon point de départ. Elle devrait vous aider à différencier les différents types de tests d'intrusion, à mieux les comprendre et à identifier les meilleurs cas d'utilisation pour chacun. Continuez à vous informer sur ces tests, et d'autres, afin de renforcer votre expertise.

Ensuite, découvrez les solutions logicielles premium pour les tests d'intrusion des applications web.