Pentest réseaux et infrastructures IT
Éprouver les accès aux réseaux, aux serveurs et aux ressources sensibles.
Une prestation adaptée à votre infrastructure
Le pentest IT recherche les chemins qu’un attaquant pourrait emprunter depuis Internet, un réseau interne ou un accès autorisé de départ. Il combine cartographie, détection et validation manuelle des vulnérabilités. L’objectif est de comprendre les impacts possibles et les protections à renforcer, au-delà d’une liste de ports ou de résultats automatisés.
Exposition réseau
Identifier les hôtes, les ports et les services accessibles. Comparer l’exposition observée aux accès attendus depuis le point de départ retenu.
Validation des vulnérabilités
Examiner les faiblesses détectées et leurs prérequis. Écarter les faux positifs et valider les scénarios autorisés.
Identités et privilèges
Étudier les comptes, les accès d’administration et les relations de confiance. Rechercher les chemins d’accès aux ressources sensibles du périmètre.
Segmentation et rebonds
Vérifier les séparations entre zones et les possibilités de déplacement latéral. Tester les accès aux applications et aux serveurs inclus dans la mission.
Comment se déroule la mission ?
Cadrer les points de départ
Définir les plages, les domaines, les comptes et les exclusions. Organiser les fenêtres d’intervention et les contacts en cas d’alerte.
Tester et valider
Combiner outils et analyses manuelles. Adapter l’exploitation au risque opérationnel et conserver les éléments nécessaires à la compréhension des constats.
Restituer les chemins d’attaque
Expliquer les enchaînements, les impacts et les priorités. Prévoir les corrections et les nouveaux tests si cette étape est retenue.
Ce que vous obtenez
- Synthèse des chemins d’attaque et des impacts métier.
- Constats techniques avec prérequis, preuves et recommandations.
- Priorités de correction et résultats des contre-tests inclus dans la mission.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
Le pentest est-il réalisé depuis Internet ou en interne ?
Les deux approches sont possibles. Les points de départ, les accès initiaux et les zones testées sont choisis selon les scénarios utiles à votre organisation.
Un scan automatisé suffit-il ?
Non. Il fournit des pistes. La validation manuelle et l’analyse des chemins d’attaque permettent de contextualiser les résultats.
Les tests peuvent-ils perturber les services ?
Certaines techniques comportent un risque opérationnel. Les essais autorisés, les exclusions et les conditions d’arrêt sont convenus avant l’intervention.
Les cadres de conformité à examiner
NIS 2 concerne les organisations entrant dans son champ, tandis qu’ISO/IEC 27001 structure un système de management. Ces cadres peuvent également couvrir les activités OT ou Web de l’organisation ; ils ne sont pas réservés à l’informatique bureautique.
Directive NIS 2
Organisations concernées : relier gouvernance, gestion des risques et mesures de sécurité. Le RéCyF fournit des repères de préparation.
Comprendre ce cadreISO/IEC 27001
Management de la sécurité de l’information : structurer le périmètre du SMSI, les risques, les responsabilités et les preuves de suivi.
Comprendre ce cadreLes autres prestations IT
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre