Communiqué : SYNHACK by ATEXIO devient ATEXIO. En savoir plus

Test d’intrusion

Accueil » Cybersécurité » Test d’intrusion

Vérifier sa sécurité en employant les techniques des pirates

L’objectif de nos tests d’intrusion est clair : vérifier la sécurité de vos systèmes en employant les techniques des pirates.

  • Périmètre ciblé de votre société : Nos consultants testent un périmètre (comprenant plusieurs cibles) de votre système informatique. Ces tests d’intrusions peuvent comprendre les aspects réseaux, systèmes, logiciels, physiques et même humains.
  • Mission réaliste : Nos experts tentent de s’introduire dans vos systèmes comme le feraient de « vrais » pirates informatiques (nous utilisons, cependant, des techniques dites « non destructrices »).
  • Simuler une attaque de son SI : Vous souhaitez tester l’état de sécurité d’une partie de votre système informatique sur des aspects aussi bien techniques qu’organisationnels (remontées d’alertes et d’incidents, réactivité du personnel informatique, etc.).

Périmètres cibles couverts par nos tests d’intrusion :

  • Applications web ;
  • Réseaux filaires et Wi-Fi ;
  • Postes utilisateurs et périphériques finaux (imprimantes, caméras IP, etc.) ;
  • Environnements serveurs physiques et virtuels (Windows, Linux, AIX, IBM, etc.) ;
  • Systèmes spécifiques (objets connectés, automates, systèmes de contrôle, etc.) ;
  • Sensibilité des utilisateurs au Social Engineering (ingénierie sociale).

Nos tests d’intrusion

Applicatif

Analyse de la sécurité de vos applications vis à vis des bonnes pratiques de l’OWASP.

Périmètres couverts :

Applications
Systèmes
Réseaux
Accès physiques
Aspects humains

Externe

Tentative d’intrusion dans vos systèmes depuis un réseau externe (Internet).

Périmètres couverts :

Applications
Systèmes
Réseaux
Accès physiques
Aspects humains

Interne

Tentative d’intrusion dans vos systèmes depuis le réseau de votre entreprise.

Périmètres couverts :

Applications
Systèmes
Réseaux
Accès physiques
Aspects humains

Système d’Information (SI)

Tentative d’intrusion dans l’ensemble de votre SI (Externe et Interne).

Périmètres couverts :

Applications
Systèmes
Réseaux
Accès physiques
Aspects humains

Social Engineering (SE)

Analyse de la sensibilité de vos employés aux attaques d’ingénierie sociale.

Périmètres couverts :

Applications
Systèmes
Réseaux
Accès physiques
Aspects humains

Red Team

Offre regroupant l’ensemble des tests d’intrusion sur plusieurs mois.

Périmètres couverts :

Applications
Systèmes
Réseaux
Accès physiques
Aspects humains

Méthodologies d’attaques

Les phases d’attaques

#1 – Prise d’information passive

Récupération d’informations sensibles sur les systèmes du périmètre initial à partir de ressources Internet (informations publiques, OSINT, etc.).

#2 – Prise d’information active

Récupération d’informations sensibles directement sur les systèmes du périmètre initial (scans réseaux, prise d’empreinte, recherche de vulnérabilités, etc.).

#3 – Obtention d’un accès

Exploitation des vulnérabilités identifiées et tentatives de compromissions des systèmes identifiés dans le périmètre initial du test d’intrusion.

#4 – Maintien de l’accès

Mise en place de portes dérobées (backdoors) afin de garder l’accès sur les systèmes compromis malgré les mécanismes de défense existants.

#5 – Exfiltration de données

Vérification des données qui peuvent être compromises, exfiltration de ces données afin de contrôler les systèmes de surveillance (ex : alertes en cas de fuite de données).

#6 – Vérification des rebonds possibles

Analyse des nouveaux systèmes adjacents accessibles depuis les systèmes compromis (scans de vulnérabilités, exploitation optionnelle).

Connaissances initiales

Black box

Nos consultants réalisent le test d’intrusion en n’ayant aucune information sur le système ou l’élément évalué. Il s’agit du scénario d’attaque le plus proche d’une véritable attaque extérieure.

Grey box

Nos consultants réalisent le test d’intrusion en ayant des informations partielles sur le système ou l’élément évalué. Il s’agit souvent d’un cas se rapprochant de l’attaque provenant d’un ancien employé ou d’une fuite de données.

White box

Nos consultants réalisent le test d’intrusion en ayant accès à l’ensemble des informations sur le système ou l’élément évalué. Se rapproche d’une l’attaque provenant d’un employé en interne ou d’un pirate déjà présent dans le réseau de l’entreprise.

Découvrez également

Audit de sécurité

Vérifier sa sécurité vis-à-vis des référentiels et des bonnes pratiques

Découvrir

Approche Red Team

Offre complète regroupant l’ensemble des tests d’intrusion sur plusieurs mois

Découvrir

Besoin de conseils ou d’informations supplémentaires ?

ATEXIOTest d’intrusion