Quelles sont les étapes des tests d'intrusion ?
Aucun système n'est inviolable. Les tests d'intrusion, souvent appelés "pentests", constituent une procédure d'évaluation spécialisée. Ils consistent à examiner, analyser et consolider les différents aspects d'un système d'information afin de le prémunir contre d'éventuelles cyberattaques. Les entreprises font appel à des plateformes de "bug bounty" pour identifier les failles de sécurité de leurs infrastructures. Des experts en cybersécurité, spécialistes des tests d'intrusion, découvrent et signalent légalement ces vulnérabilités en utilisant ces systèmes de récompense. Alors, comment ce processus se déroule-t-il ?
1. Recueil et surveillance passifs d'informations
Lors de la phase initiale d'un test de bug bounty et de pénétration, le testeur est tenu de collecter des informations sur le système visé. Comme les approches d'attaque et de test sont multiples, il est impératif pour le testeur d'intrusion d'établir des priorités. Cette priorisation repose sur les informations recueillies, afin de déterminer la méthodologie de test la plus appropriée.
Cette étape implique l'extraction de détails cruciaux concernant l'infrastructure du système ciblé. Cela inclut les noms de domaine, les blocs de réseau, les routeurs, ainsi que les adresses IP relevant de son périmètre. De plus, toute information pertinente susceptible d'optimiser le succès de l'attaque doit être collectée. Cela peut comprendre des données relatives aux employés et des numéros de téléphone.
Les données issues de sources ouvertes lors de cette phase peuvent s'avérer étonnamment révélatrices. Pour ce faire, le "hacker éthique" doit exploiter divers canaux, en accordant une attention particulière au site web et aux plateformes de médias sociaux de l'entité visée. En assemblant minutieusement ces données, le testeur pose les fondations d'une campagne de bug bounty réussie.
Néanmoins, la majorité des organisations imposent des règles spécifiques au testeur d'intrusion lors d'une opération de bug bounty. Le respect de ces règles est crucial d'un point de vue légal.
2. Collecte et analyse actives d'informations
Le testeur d'intrusion identifie les dispositifs actifs et passifs opérant dans la plage d'adresses IP. Cela se fait généralement par une collecte passive pendant la phase de bug bounty. À partir des informations obtenues lors de cette collecte passive, le "pentester" doit tracer une voie, en définissant précisément les tests nécessaires et leur ordre de priorité.
Durant cette phase, il est inévitable que le "hacker" obtienne des renseignements sur le système d'exploitation (OS), les ports ouverts, les services actifs, ainsi que les versions de ces services sur les systèmes détectés.
Par ailleurs, si l'entité à l'origine du bug bounty autorise légalement le testeur d'intrusion à surveiller le trafic réseau, des données fondamentales concernant l'infrastructure du système peuvent être recueillies, du moins dans la mesure du possible. Cependant, la plupart des organisations ne souhaitent pas accorder cette permission. Dans une telle situation, le testeur d'intrusion est tenu de ne pas outrepasser les limites établies.
3. Phase d'analyse et de test
À ce stade, le testeur d'intrusion, après avoir évalué la manière dont l'application ciblée réagira aux différentes tentatives d'intrusion, s'efforce d'établir des connexions directes avec les systèmes qu'il a identifiés comme actifs. Il tente d'envoyer des requêtes directes. En d'autres termes, c'est l'étape où le "hacker éthique" interagit avec le système ciblé en utilisant des services tels que FTP, Netcat et Telnet.
Bien que des échecs soient possibles à ce stade, l'objectif principal est de mettre à l'épreuve les informations collectées lors des étapes précédentes, tout en prenant des notes sur ces résultats.
4. Tentative de manipulation et d'exploitation
Le testeur d'intrusion rassemble toutes les données acquises durant les étapes précédentes dans un unique but : tenter d'accéder au système cible de la même manière qu'un véritable pirate malveillant le ferait. C'est la raison pour laquelle cette étape revêt une telle importance. Lors de la planification d'une opération de bug bounty, les testeurs d'intrusion doivent se mettre dans la peau d'un attaquant potentiel.
À ce stade, le "pentester" s'efforce d'infiltrer le système, en exploitant le système d'exploitation (OS) en fonctionnement, les ports ouverts, les services actifs sur ces ports, et les méthodes d'exploitation envisageables en fonction de leurs versions. Étant donné que les portails et applications web sont constitués d'une quantité considérable de code et de bibliothèques, la surface d'attaque pour un pirate est étendue. À cet égard, un testeur d'intrusion compétent doit anticiper toutes les éventualités et utiliser tous les vecteurs d'attaque autorisés par les règles.
Cela requiert une expertise et une expérience significatives pour manipuler avec succès et agilité les techniques d'exploitation existantes, sans endommager le système, et sans laisser de traces, lors de la prise de contrôle. Cette étape du test d'intrusion est donc la plus critique. Dans le cas d'une attaque réelle, les équipes d'investigation numérique doivent pouvoir suivre les traces laissées par un cyberattaquant.
5. Tentative d'élévation de privilège
Un système n'est jamais plus sécurisé que son maillon le plus faible. Si un "hacker éthique" parvient à accéder à un système, il le fait généralement en tant qu'utilisateur avec des droits limités. À ce stade, le testeur d'intrusion doit obtenir une autorisation de niveau administrateur, en exploitant les faiblesses du système d'exploitation ou de l'environnement.
Ensuite, il doit chercher à prendre le contrôle d'autres appareils du réseau, en se servant de ces privilèges additionnels qu'il a acquis. L'objectif final est d'obtenir les droits d'utilisateur les plus élevés, tels que ceux de l'administrateur de domaine ou de l'administrateur de base de données.
6. Rapports et présentation
Une fois les étapes du test d'intrusion et du bug bounty accomplies, le testeur d'intrusion, ou chasseur de bug, doit exposer les vulnérabilités de sécurité qu'il a décelées dans le système visé. Il doit également détailler la marche à suivre et expliquer comment il a pu exploiter ces failles. Ces informations doivent être présentées à l'organisation au sein d'un rapport exhaustif. Ce document doit inclure des captures d'écran, des exemples de codes, le déroulé des attaques, ainsi que les conséquences potentielles de ces vulnérabilités.
Le rapport final doit aussi comporter des recommandations pour corriger chaque faille de sécurité. La confidentialité et la neutralité des tests d'intrusion sont primordiales. Le "hacker éthique" ne doit jamais divulguer des informations sensibles obtenues durant ce processus et doit proscrire l'utilisation abusive de ces informations. De plus, il doit s'abstenir de fournir de fausses informations, car cela est illégal.
Pourquoi le test de pénétration est-il crucial ?
L'objectif principal des tests d'intrusion est de révéler le niveau de sécurité de l'infrastructure d'un système du point de vue d'un attaquant. Il s'agit également de corriger toutes les vulnérabilités. En plus de mettre en lumière les faiblesses d'une organisation en matière de sécurité, ces tests évaluent la pertinence de sa politique de sécurité, vérifient la sensibilisation du personnel aux enjeux de sécurité et déterminent dans quelle mesure l'entreprise a appliqué les principes de cybersécurité.
Les tests d'intrusion prennent une importance croissante. Pour examiner la sécurité de l'infrastructure des structures d'entreprise et des applications personnelles, il est essentiel de faire appel à des testeurs d'intrusion éthiques certifiés.