Pentest Externe Découvrez le Pentest Externe par Ziwit

Objectifs du test

Les objectifs du test doivent être clairement définis avant le début du test. Les objectifs peuvent inclure :

• Identifier et corriger les vulnérabilités de sécurité dans l'infrastructure externe de l'organisation.
• Démontrer la conformité aux normes et réglementations de sécurité.
• Améliorer la sensibilisation à la sécurité des employés.

Périmètre du test

Le périmètre du test doit également être défini avec précision. Le périmètre définit les systèmes, applications et données qui seront inclus dans le test. Il est important de définir le périmètre de manière suffisamment large pour identifier les vulnérabilités les plus importantes, mais pas trop large pour rendre le test incontrôlable.

Contraintes

Les contraintes du test doivent également être définies. Les contraintes peuvent inclure le temps, le budget et les ressources disponibles. Il est important de définir les contraintes de manière réaliste afin que l'organisation et le prestataire de pentest aient des attentes réalistes.

Attentes

Les attentes du test doivent également être définies. Les attentes peuvent inclure la fréquence des tests, la profondeur de l'évaluation et le format du rapport de test. Il est important de définir les attentes de manière claire afin que l'organisation et le prestataire de pentest soient sur la même longueur d'onde.

Documents de planification

Les résultats de la phase de planification doivent être documentés dans des documents de planification. Ces documents doivent inclure les informations suivantes :

• Les objectifs du test.
• Le périmètre du test.
• Les contraintes du test.
• Les attentes du test.

Réunion de lancement

Une réunion de lancement doit être organisée à la fin de la phase de planification. Cette réunion permet à l'organisation et au prestataire de pentest de discuter des résultats de la planification et de répondre à toute question ou préoccupation.

Objectifs de la reconnaissance

Les objectifs de la reconnaissance sont les suivants :

• Comprendre l'infrastructure de l'organisation.
• Identifier les systèmes, applications et données exposés au public.
• Identifier les points d'entrée potentiels.
• Déterminer les politiques de sécurité de l'organisation.
• Découvrir les vulnérabilités connues.

Techniques de reconnaissance

Les pentesters utilisent diverses techniques de reconnaissance pour recueillir des informations sur l'organisation cible. Ces techniques peuvent inclure :

• Recherche sur le web : Le pentester recherche des informations sur l'organisation sur le web, telles que ses noms de domaine, ses adresses IP et ses réseaux sociaux.
• Scan de ports : Le pentester scanne les adresses IP de l'organisation pour identifier les ports ouverts et déterminer les services qui y sont hébergés.
• Recherche de vulnérabilités : Le pentester utilise des outils et des bases de données pour rechercher des vulnérabilités connues dans les systèmes et applications exposés de l'organisation.
• Analyse de code : Le pentester analyse le code source des applications Web pour identifier des failles de sécurité.
• Observation du réseau : Le pentester surveille le trafic réseau de l'organisation pour identifier des comportements inhabituels ou des failles de sécurité.

Limites de la reconnaissance

La reconnaissance est une technique passive qui ne permet pas aux pentesters de pénétrer dans l'infrastructure de l'organisation. Cependant, elle est essentielle pour fournir aux pentesters une compréhension de l'environnement de l'organisation avant de passer aux phases suivantes du test.

Objectifs de l'évaluation et de l'exploitation des vulnérabilités

Les objectifs de l'évaluation et de l'exploitation des vulnérabilités sont les suivants :

• Vérifier si les vulnérabilités peuvent être exploitées par un attaquant réel.
• Évaluer la gravité des vulnérabilités.
• Déterminer les moyens d'atténuer les vulnérabilités.

Techniques d'évaluation et d'exploitation des vulnérabilités

Les pentesters utilisent diverses techniques pour évaluer et exploiter les vulnérabilités. Ces techniques peuvent inclure :

• Exploitation manuelle : Les pentesters exploitent manuellement les vulnérabilités identifiées pour évaluer leur gravité et déterminer si elles peuvent être exploitées par un attaquant réel.
• Exploitation automatisée : Les pentesters utilisent des outils automatisés pour exploiter les vulnérabilités identifiées.
• Tests d'ingénierie sociale : Les pentesters utilisent des techniques d'ingénierie sociale pour tromper les utilisateurs et obtenir des informations sensibles ou accéder à des systèmes ou applications.

Objectifs du reporting

Les objectifs du reporting sont les suivants :

• Documenter les résultats du test.
• Fournir des informations pour corriger les vulnérabilités.
• Aider l'organisation à améliorer sa posture de sécurité.

Structure du rapport

Le rapport de pentest doit être clair et concis et doit fournir suffisamment d'informations pour que l'organisation puisse corriger les vulnérabilités de manière efficace. Le rapport doit inclure les informations suivantes :

• Résumé : Un résumé des résultats du test, y compris les objectifs du test, le périmètre du test, les techniques utilisées et les vulnérabilités identifiées.
• Détails des vulnérabilités : Une description détaillée de chaque vulnérabilité identifiée, y compris la gravité de la vulnérabilité, les moyens d'exploiter la vulnérabilité et les recommandations pour corriger la vulnérabilité.
• Recommandations : Des recommandations pour corriger les vulnérabilités identifiées.

Objectifs du contre-audit

Les objectifs sont les suivants :

• S'assurer que les vulnérabilités ont été corrigées de manière appropriée.
• Identifier les vulnérabilités qui n'ont pas été corrigées correctement.
• Fournir des informations pour améliorer la remédiation des vulnérabilités.

Exécution

L’auditeur doit suivre les recommandations du rapport de pentest pour tester les systèmes et applications exposés et s'assurer qu'ils ne sont plus vulnérables aux vulnérabilités identifiées.

Résultats

Les résultats de la validation de la juste remédiation des vulnérabilités doivent être documentés dans un rapport qui est remis à l'organisation. Le rapport doit inclure les informations suivantes :

• Les conclusions de la validation.
• Les recommandations pour améliorer la remédiation des vulnérabilités.

A noter que les équipes Ziwit restent à disposition entre la réalisation du pentest et le contre-audit, sans frais supplémentaire, afin de conseiller le client dans les choix de remédiation.

Chez Ziwit, nous remettons une certification attestant de la bonne sécurité informatique d’un Système d’Informations. Ce certificat est remis lorsque le SI ne présente plus de vulnérabilités. Il sert à rassurer les collaborateurs que la solution exposée ne présente pas de failles de sécurité.