C'est quoi ?

Définition : le test d'intrusion (en anglais penetration tests, abrégés en pen tests) consiste à tester les protections d'un système d'information en essayant de s'introduire dans le système en situation réelle.

Il existe deux méthodes :

• La méthode dite «boîte noire» (en anglais «black box») consistant à essayer de s'introduire sur le réseau sans aucune connaissance du système, afin de réaliser un test en situation réelle.
• La méthode dite «boîte blanche» (en anglais «white box») consistant à tenter de s'introduire dans le système en ayant connaissance de l'ensemble du système, afin d'éprouver au maximum la sécurité du réseau.

A quoi ça sert ?

Un test d'intrusion permet de mettre en évidence une faille soit pour sensibiliser les acteurs d'un projet soit pour ne pas garantir la sécurité du système. Des vulnérabilités peuvent avoir échappé aux testeurs internes, il est donc conseillé de faire des audits de sécurité afin d'obtenir une confiance dans la sécurité d'un système, car ils prennent en compte les aspects organisationnels et humains et que la sécurité.

Le test d'intrusion est utile dans de nombreux cas de figure :

• Pour se rassurer.
• Pour valider une architecture dite sécurisée.
• Pour tester son prestataire de sécurité actuel.
• Mettre en conditions réelles une équipe de réponse aux attaques.
• Pour s'assurer du déclenchement approprié des alarmes.
• Pour s'assurer du suivi des procédures de sécurité.

Comment cela se déroule un test d'intrusion ?

Securi-toile va donc essayer de se mettre à la place d'un internaute malveillant à la recherche de toutes faiblesses de votre infrastructure.

• Le client met à disposition, l'adresse IP du serveur dédié ou l'adresse (URL) du site à auditer.
• L'audit est réalisé à distance.
• Securi-toile tente de trouver les points faibles de votre site et ou serveur dédié, mais ne prendra pas le contrôle sur le système d'information du client.
• Securi-toile rédigera un rapport montrant les vulnérabilités de votre site web/serveur dédié en préconisant l'ensemble des solutions à apporter à votre site/serveur dédié.

Quelles sont les exigences à avoir ?

Pour satisfaire à cette prestation, il y a des exigences, à savoir :

• Un contrat ou un bon de commande explicite doit être rédigé.
• Il doit comporter la liste exhaustive des systèmes à tester.
• Le demandeur doit fournir l'assurance écrite de la propriété des systèmes.
• Le prestataire se doit d'avoir une déontologie irréprochable.
• Le nom des personnes référente chez le prestataire durant la mision.

Est ce fiable ?

Les tests sont fiables dans la majorité des cas, cependant les tests d'intrusions ne font pas la sécurité, il est nécessaire d'avoir des exploitants compétents, disponibles et une gestion rigoureuse dans le temps. La mise en oeuvre d'une solution de sécurité viable doit également comprendre la mise en place d'une politique de sécurité adéquate, un audit interne, une véritable sécurisation des systèmes et réseaux au sens technique du terme, ainsi qu'un personnel formé et adapté.