Penetration Testing

Définition

Le Penetration Testing, ou pentest, est une méthode d'évaluation de la sécurité qui simule des attaques réelles contre un système d'information, une application ou une infrastructure, avec l'autorisation explicite de l'organisation, afin d'identifier des vulnérabilités exploitables et d'en démontrer l'impact concret par exploitation active, ce qui le distingue d'un simple scan de vulnérabilités automatisé. Un pentest suit généralement une méthodologie structurée en phases : reconnaissance, cartographie de la surface d'attaque, identification des vulnérabilités, exploitation, post-exploitation avec éventuel mouvement latéral, puis rédaction d'un rapport détaillant les failles, leur criticité selon le score CVSS et des recommandations de remédiation priorisées. Les approches varient selon le niveau d'information fourni : boîte noire (black box) sans connaissance préalable du système, boîte blanche (white box) avec accès complet au code et à la documentation, et boîte grise (grey box), la plus courante en pratique, combinant un niveau d'accès limité représentatif d'un utilisateur ou attaquant partiellement informé. Les référentiels méthodologiques reconnus incluent OWASP Testing Guide pour le web, PTES (Penetration Testing Execution Standard) et OSSTMM. Le pentest est souvent une obligation contractuelle ou réglementaire, notamment sous PCI DSS pour les environnements de paiement, et constitue une composante recommandée des programmes de conformité ISO 27001 et NIS2 pour valider l'efficacité réelle des mesures de sécurité déployées.