Service 1.3
Test d’intrusion de réseau externe.
Nous examinons tout ce que votre entreprise expose sur internet, trouvons ce que vous aviez oublié, et vérifions si un élément permet à un attaquant d’entrer.
1 Ce que nous testons
- Découverte : les hôtes, domaines et services que vous exposez, y compris ceux absents de votre inventaire.
- Services ouverts : vulnérabilités connues, mots de passe par défaut ou faibles, et logiciels qui ne reçoivent plus de mises à jour.
- Accès à distance : VPN, bureau à distance et autres moyens par lesquels vos équipes se connectent depuis l’extérieur.
- Messagerie : les réglages qui empêchent d’autres d’envoyer des e-mails en votre nom (SPF, DKIM, DMARC).
- Systèmes oubliés : pages d’administration, anciens sites de test, sauvegardes et fichiers restés en ligne.
Méthode : PTES, NIST SP 800-115.
2 Hors périmètre
Déni de service, hameçonnage, actifs qui ne vous appartiennent pas.
3 Ce que vous fournissez
- Vos plages d’adresses IP publiques et vos domaines.
- L’accord écrit de tout hébergeur ou tiers dont les conditions l’exigent.
- Un contact joignable pendant les fenêtres de test.
4 Déroulé du test
- Appel de cadrage : nous fixons les plages, les domaines, les fenêtres de test et les personnes à appeler. Vous recevez une offre écrite avec les dates et le prix.
- Vous signez l’autorisation. Rien n’atteint vos systèmes avant cela.
- Découverte : nous listons ce qui est exposé et vérifions que chaque élément vous appartient avant de le tester.
- Nous testons chaque service exposé, depuis des adresses IP fixes que vous connaissez à l’avance.
- Une vulnérabilité critique est signalée à votre contact dès qu’elle est prouvée, sans attendre le rapport.
- Rapport et restitution, puis un contre-test une fois les corrections faites.
5 Ce que vous recevez
| Document | Contenu | Pour |
|---|---|---|
| Rapport technique | Chaque vulnérabilité avec son chemin d’exploitation, sa preuve, son score CVSS 4.0, sa CWE et sa correction. | Développeurs, DSI |
| Rapport de synthèse | Cinq à huit pages sur le risque métier, en langage clair. | Direction, conseil d’administration |
| Plan de remédiation | Les vulnérabilités classées par ordre de correction. | DSI, chefs de projet |
| Restitution | Une séance à distance pour parcourir les résultats et répondre aux questions. | Les deux |
| Attestation de contre-test | La preuve que les vulnérabilités ont été corrigées. | Auditeurs, clients |
6 Questions
- Combien de temps dure le test ?
- Cela dépend du nombre d’adresses et de services. L’offre écrite donne le nombre de jours de test et les dates avant que vous signiez.
- Et si vous trouvez un système absent de notre liste ?
- Nous vous le signalons sans le tester. Il reste hors périmètre tant que vous n’avez pas confirmé par écrit qu’il vous appartient et qu’il doit être ajouté.
- Le test va-t-il déclencher nos alertes ?
- C’est possible, et c’est utile à savoir. Les tests partent d’adresses IP fixes communiquées à l’avance, pour que votre équipe puisse nous distinguer d’une vraie attaque.
- L’hameçonnage est-il inclus ?
- Non. L’hameçonnage et les autres formes d’ingénierie sociale ne font pas partie de ce test.
Demander un devis pour ce test
Dites-nous ce qu’il faut tester. Un testeur vous répond avec une offre écrite : périmètre, dates et prix.
Demander un devis