Penetration Testing (Test d'Intrusion)

Définition

Le Penetration Testing, ou test d'intrusion, est une méthode d'évaluation de sécurité offensive qui consiste à simuler des techniques d'attaque réelles contre les systèmes, applications ou réseaux d'une organisation, dans un cadre contractuel strictement défini, afin d'identifier les vulnérabilités effectivement exploitables et de mesurer l'impact concret qu'une compromission réussie aurait sur l'organisation testée. Contrairement à un audit de conformité qui vérifie l'application de contrôles documentés, ou à un simple scan de vulnérabilités automatisé qui se limite à un inventaire théorique de failles potentielles, le pentest implique une exploitation active menée manuellement par un expert qualifié suivant une méthodologie structurée : reconnaissance de la surface d'attaque, identification des vulnérabilités, exploitation effective pour valider leur caractère réellement exploitable, élévation de privilèges et mouvement latéral pour démontrer la portée maximale atteignable, dans les limites du périmètre et des règles d'engagement convenues avec le client. Les tests peuvent porter sur des périmètres variés : applications web, infrastructures réseau internes et externes, applications mobiles, architectures cloud, ou dispositifs physiques et humains via des campagnes d'ingénierie sociale. Le livrable final priorise systématiquement les vulnérabilités identifiées selon leur criticité, souvent mesurée via le score CVSS, accompagné de recommandations de remédiation concrètes et d'une évaluation du niveau de maturité de sécurité globale démontré par l'organisation testée.