Pentest

Principe de fonctionnement

Le pentest s'appuie sur des méthodologies formalisées — PTES, OWASP WSTG, OSSTMM — encadrées par des règles d'engagement définissant périmètre, créneaux et actions interdites. En France, la qualification PASSI de l'ANSSI atteste de la maîtrise du prestataire. Chaque faiblesse est qualifiée par un score CVSS, puis pondérée par l'exposition réelle et la valeur métier de l'actif.

Utilisation en attaque / exploitation

• Reconnaissance : collecte OSINT et cartographie du périmètre exposé
• Énumération : services, versions et surfaces d'attaque
• Exploitation : validation d'une vulnérabilité par un exploit ou une preuve de concept maîtrisée
• Post-exploitation : élévation de privilèges, pivoting latéral, impact démontré
• Restitution : rapport priorisé, remédiation et retest

Outils associés

L'arsenal combine cartographie réseau (Nmap), interception applicative (Burp Suite), frameworks d'exploitation (Metasploit, Impacket, BloodHound) et exploits sur mesure. L'automatisation ne couvre qu'une fraction des cas : logique métier, contournements d'autorisation et chaînes d'attaque composées restent tributaires de l'analyse humaine.

Détection et indicateurs

• Pics d'échecs d'authentification et énumération de comptes
• Balayages de ports et signatures d'outils connus
• Requêtes Kerberos anormales, accès mémoire au processus LSASS
• Flux sortants inhabituels trahissant un tunnel ou une exfiltration simulée

Le référencement des IP du prestataire évite de polluer les métriques du SOC, sauf en mode Red Team où la détection fait partie des objectifs mesurés.

Contre-mesures

La valeur d'un pentest réside dans le traitement des constats : correctifs hiérarchisés, durcissement des configurations, segmentation réseau et moindre privilège. Le mapping sur MITRE ATT&CK aligne les règles de détection SIEM et EDR sur les scénarios réellement démontrés, avant vérification lors du test de contrôle.