Service 1.4
Test d’intrusion de réseau interne.
Nous partons d’un premier accès dans votre réseau, comme un attaquant qui aurait obtenu l’ordinateur ou le mot de passe d’un membre de votre équipe, et mesurons jusqu’où il mène.
1 Ce que nous testons
- Active Directory : les comptes, groupes, droits et réglages qui pourraient permettre à un utilisateur ordinaire de devenir administrateur du domaine.
- Privilèges sur les machines atteintes : un utilisateur standard peut-il devenir administrateur local ?
- Portée : jusqu’où un compte ou une machine permet d’aller dans le réseau.
- Cloisonnement : les zones qui devraient être séparées, comme les bureaux, les serveurs et les systèmes de paiement, le sont-elles vraiment ?
- Mots de passe et secrets laissés dans des partages de fichiers, des scripts et des réglages.
Méthode : PTES, NIST SP 800-115.
2 Hors périmètre
Actions qui pourraient casser la production, intrusion physique.
3 Ce que vous fournissez
- Un point d’entrée : un compte VPN, ou une machine de votre réseau à laquelle nous connecter à distance.
- Un compte utilisateur standard, comme celui que reçoit une nouvelle recrue.
- Les plages réseau dans le périmètre, et les systèmes auxquels nous ne devons pas toucher.
- Un contact capable d’agir vite pendant les fenêtres de test si quelque chose doit s’arrêter.
4 Déroulé du test
- Appel de cadrage : nous fixons les plages, les systèmes à éviter, les fenêtres de test et les personnes à appeler. Vous recevez une offre écrite avec les dates et le prix.
- Vous signez l’autorisation. Rien n’atteint votre réseau avant cela.
- Nous testons depuis le point d’entrée que vous nous donnez, avec le compte standard.
- Toute action qui pourrait toucher un système de production est d’abord validée avec votre contact.
- Une vulnérabilité critique est signalée à votre contact dès qu’elle est prouvée, sans attendre le rapport.
- Chaque compte, fichier ou outil que nous ajoutons est listé dans le rapport et retiré à la fin.
- Rapport et restitution, puis un contre-test une fois les corrections faites.
5 Ce que vous recevez
| Document | Contenu | Pour |
|---|---|---|
| Rapport technique | Chaque vulnérabilité avec son chemin d’exploitation, sa preuve, son score CVSS 4.0, sa CWE et sa correction. | Développeurs, DSI |
| Rapport de synthèse | Cinq à huit pages sur le risque métier, en langage clair. | Direction, conseil d’administration |
| Plan de remédiation | Les vulnérabilités classées par ordre de correction. | DSI, chefs de projet |
| Restitution | Une séance à distance pour parcourir les résultats et répondre aux questions. | Les deux |
| Attestation de contre-test | La preuve que les vulnérabilités ont été corrigées. | Auditeurs, clients |
6 Questions
- Combien de temps dure le test ?
- Cela dépend de la taille du réseau et du nombre de sites. L’offre écrite donne le nombre de jours de test et les dates avant que vous signiez.
- Le test peut-il casser la production ?
- Nous évitons tout ce qui le pourrait : aucun déni de service, aucune modification de vos données, et toute action à risque est validée avec votre contact avant d’être menée.
- Devez-vous venir sur place ?
- Non. Les tests se font à distance, par l’accès que vous nous donnez.
- Faut-il prévenir notre équipe informatique ?
- C’est votre choix. Prévenir quelques personnes évite qu’une vraie alerte soit ignorée pendant le test. Ne pas les prévenir montre aussi si elles s’en aperçoivent.
Demander un devis pour ce test
Dites-nous ce qu’il faut tester. Un testeur vous répond avec une offre écrite : périmètre, dates et prix.
Demander un devis