Test d’intrusion : définition, types et étapes d’un pentest

Un test d’intrusion, ou pentest (de l’anglais penetration test), est une attaque simulée, menée avec l’autorisation de l’entreprise, pour vérifier si ses systèmes peuvent être compromis.
Le testeur se met dans la peau d’un attaquant : il cherche les failles, tente de les exploiter, et mesure jusqu’où elles permettent d’aller.

Sa valeur tient dans la preuve.
Là où d’autres démarches signalent un risque possible, le test d’intrusion démontre qu’une faille est exploitable, et montre ce qu’elle expose concrètement : des données clients, un accès d’administration, une porte vers le reste du système.

Le type de test dépend de ce que le testeur sait au départ.

Boîte noire

Le testeur ne dispose d’aucune information, comme un attaquant extérieur qui découvre sa cible.
C’est le scénario le plus réaliste, mais aussi le moins efficace : une partie du temps se perd à reconstituer ce que l’entreprise aurait pu fournir.

Boîte grise

Le testeur dispose d’informations partielles, typiquement un compte utilisateur standard.
Il simule un client malveillant, un salarié ou un attaquant qui aurait dérobé des identifiants.
C’est le meilleur compromis pour tester une application.

Boîte blanche

Le testeur a accès à l’architecture, à la documentation, parfois au code source.
Il couvre plus de terrain en moins de temps et repère des failles invisibles de l’extérieur.

Une variante se répand : l’hypothèse de compromission, où le testeur part d’un point déjà compromis (un poste, un compte de développeur) pour mesurer jusqu’où un attaquant pourrait progresser à l’intérieur.

Cadrage et autorisation

Périmètre, scénario, fenêtres de test, et surtout autorisation écrite de l’entreprise, et de l’hébergeur si l’infrastructure lui appartient.

Reconnaissance

Collecte d’informations sur la cible, depuis les sources publiques jusqu’à la cartographie des services exposés.

Analyse

Recherche des failles possibles, à l’aide d’outils automatiques et d’une analyse manuelle.

Exploitation

Tentative d’exploiter les failles repérées, sans détériorer les systèmes ni les données.

Progression

À partir d’une première faille, tentative d’étendre ses droits ou d’atteindre d’autres systèmes, pour mesurer l’impact réel.

Rapport et restitution

Chaque faille est décrite, prouvée, classée par gravité et accompagnée d’une correction recommandée.

La dernière étape, souvent oubliée, est le contre-test : une fois les corrections appliquées, le testeur vérifie qu’elles ferment bien les failles constatées.

Les deux termes sont souvent confondus, alors qu’ils répondent à des besoins différents.

L’audit de vulnérabilité passe les systèmes au crible d’outils automatiques, qui comparent les logiciels et leurs versions à des bases de failles connues.
Il couvre large et vite, peut être répété régulièrement, mais il signale des risques sans les vérifier : une partie des alertes se révèle sans conséquence, et les failles propres à votre application lui échappent.

Le test d’intrusion est mené par une personne.
Il exploite réellement les failles, les enchaîne entre elles et repère les erreurs de logique qu’aucun outil ne détecte, comme un client qui accède aux données d’un autre en modifiant un identifiant.

En pratique, les deux se complètent : l’audit de vulnérabilité assure une veille continue, le test d’intrusion apporte une preuve approfondie sur les services les plus exposés.

L’audit de configuration examine le paramétrage des outils de l’intérieur : droits d’accès, identités, chaîne de déploiement, secrets.
Cœur d’une méthode d’audit de sécurité bien menée, il couvre beaucoup de terrain en peu de jours et révèle des faiblesses qu’un test conduit de l’extérieur mettrait des semaines à trouver.

Pour la plupart des PME, l’ordre le plus efficace est donc le suivant :

• d’abord l’audit de configuration, pour obtenir une vue d’ensemble et corriger les faiblesses les plus nombreuses,
• ensuite un test d’intrusion ciblé, sur les constats les plus sérieux et les services les plus exposés, pour prouver ce qui est réellement exploitable.

Une exception : une application qui vient d’être ouverte au public, ou qui manipule des données sensibles, justifie un test d’intrusion dès sa mise en ligne.

Un réseau de cliniques vétérinaires de 120 salariés lance un portail où les propriétaires d’animaux prennent rendez-vous, consultent les ordonnances et règlent leurs factures.
Avant l’ouverture à l’ensemble des clients, la direction commande un test d’intrusion.

Le test

• Boîte grise : le testeur dispose de deux comptes clients de test.
• Cinq jours de test, sur un environnement identique à la production.
• Rapport remis une semaine plus tard, restitution avec le prestataire qui a développé le portail.

Les failles trouvées

14 failles, dont 3 critiques :

• en remplaçant le numéro de rendez-vous dans l’adresse, un client connecté affichait les rendez-vous, ordonnances et coordonnées de n’importe quel autre client,
• le lien de réinitialisation du mot de passe reposait sur un code prévisible, qui permettait de prendre la main sur un compte en quelques minutes,
• l’interface d’administration du portail était accessible depuis Internet, protégée par un simple mot de passe.

Les corrections

• Les 3 failles critiques sont corrigées en dix jours par le prestataire ; l’ouverture du portail est décalée d’autant.
• Le contre-test confirme leur fermeture.
• Les failles de gravité moyenne et faible sont planifiées dans les deux versions suivantes.

Le bilan

Le portail ouvre avec dix jours de retard, sans exposer les données de plusieurs dizaines de milliers de clients.
La première faille, découverte après l’ouverture par un client curieux ou malveillant, aurait imposé une notification à la CNIL et à chaque client concerné.

Combien de temps dure un test d’intrusion ?

De trois à dix jours de test pour la plupart des périmètres d’une PME : une application web, un portail client ou une infrastructure exposée. Il faut y ajouter le cadrage en amont et une semaine environ pour le rapport.

Un test d’intrusion est-il légal ?

Oui, à condition d’être autorisé par écrit par le propriétaire des systèmes, et par l’hébergeur le cas échéant. Sans cette autorisation, s’introduire dans un système informatique constitue un délit, quelle que soit l’intention. La convention fixe le périmètre, les dates et les techniques autorisées.

Que contient le rapport d’un test d’intrusion ?

Une synthèse pour la direction, puis le détail de chaque faille : description, preuve d’exploitation, gravité et correction recommandée. Un bon rapport indique aussi ce qui a été testé sans résultat, pour situer le niveau de sécurité atteint.

À quelle fréquence réaliser un test d’intrusion ?

Une fois par an sur les services les plus exposés, et à chaque évolution majeure : nouvelle application, refonte, changement d’hébergement. Entre deux tests, un audit de vulnérabilité automatique assure une veille continue.