Pentest Test d'Intrusion

Types de pentests et approches

Les pentests se différencient par le niveau d'information initial : Black Box (aucune information — simule l'attaquant externe aveugle), Grey Box (informations partielles — simule l'employé malveillant ou le compte compromis, approche la plus réaliste pour la plupart des organisations), White Box (toutes informations — révèle le maximum de vulnérabilités, idéal pour les revues approfondies du code et de l'architecture). La méthodologie PTES (Penetration Testing Execution Standard) structure les phases d'un pentest : pre-engagement, intelligence gathering, threat modeling, vulnerability research, exploitation, post-exploitation, reporting.

Les périmètres de test courants : réseau externe (IPs et domaines exposés sur Internet), application web et API (OWASP Testing Guide v4), réseau interne (après initial access, pivoting, élévation de privilèges), Active Directory (BloodHound, Impacket — vecteur d'attaque principal en réseau interne), cloud (AWS, Azure, GCP — mauvaises configurations, IAM overpermissive), et mobile (iOS/Android).

Méthodologie et déroulement d'un pentest

Un pentest professionnel comprend : (1) Scope definition — périmètre précis, règles d'engagement, fenêtres d'intervention, contacts de crise ; (2) Reconnaissance — OSINT, mapping de la surface d'attaque (Shodan, Censys, Amass, Subfinder) ; (3) Scan de vulnérabilités — Nessus, OpenVAS, Nuclei ; (4) Exploitation — tentatives d'exploitation des vulnérabilités identifiées, avec documentation de chaque étape ; (5) Post-exploitation — élévation de privilèges, mouvement latéral, exfiltration de données ; (6) Reporting — rapport détaillé avec exécutif (synthèse pour la direction) et technique (détails pour les équipes de remédiation).

Le rapport de pentest doit prioriser les vulnérabilités selon leur sévérité CVSS et leur exploitabilité réelle, et fournir des recommandations de remédiation précises et actionnables. La revalidation des vulnérabilités corrigées (retest) est une bonne pratique permettant de confirmer l'efficacité des remédiations.

Exigences réglementaires de pentest

PCI-DSS Requirement 11.4 impose un pentest d'infrastructure et d'application au minimum annuellement et après tout changement significatif. Le périmètre doit couvrir le réseau interne, les composants exposés, et les applications de traitement des paiements. NIS2 (art. 21) requiert des tests de sécurité périodiques pour les entités essentielles et importantes. ISO 27002:2022 (contrôle 8.8) recommande des tests d'intrusion réguliers.

Pour les OIV français et les entités soumises à des exigences de sécurité élevées, le recours à un PASSI qualifié ANSSI est obligatoire ou fortement recommandé pour les pentests des systèmes les plus sensibles. La qualification PASSI catégorie « Tests d'intrusion » garantit la compétence et la fiabilité du prestataire.