4 QUESTIONS FREQUENTES SUR LES PENTESTS

Un pentest, ou test d’intrusion permet de mesurer et d’évaluer le niveau de sécurité de votre système d’information. Ces tests sont réalisés à l’aide de différentes simulations d’attaques réalistes. Dans cet article, on revient sur les questions les plus fréquentes concernant les pentests.

Quels sont les objectifs d’un test d’intrusion ?

Avoir recours à un test d’intrusion pour vérifier votre réseau informatique permet de répondre à différents objectifs. Tout d’abord, il va permettre d’identifier les différentes vulnérabilités auxquelles est soumis votre SI. Puis, il a pour deuxième objectif d’évaluer le niveau de risque de chaque faille relevée. Enfin, le troisième objectif est de proposer un correctif adapté aux failles de sécurité.

A quoi correspondent les types de pentest : boîte noire, boîte grise et boîte blanche ?

Les pentests peuvent être réalisé avec différents niveaux d’informations, en fonction de l’objectif de l’entreprise. Il existe trois formes de pentest :

Boîte noire : Ici, le pentest est réalisé avec seulement les informations publiques comme les adresses IP, ou les noms de domaines.

Boîte grise : le pentest est ici réalisé avec davantage d’informations que la boîte noire. L’entreprise donne par exemple accès à un espace client avec des identifiants valides dans le cas d’une application web.

Boîte blanche : le prestataire en charge du pentest dispose d’un très grand nombre d’informations comme les processus internes d’une application, ou logiciel, le code source, ou encore le schéma d’architecture…

De plus, il est possible d’effectuer des tests d’intrusion soit en interne (le prestataire se rend au sein de l’entreprise) ou externe (le test sera réalisé à distance). Encore une fois, c’est un élément à définir en fonction de vos objectifs.

Pour ce qui est des tests interne, SOTERIA LAB à développé un boîtier permettant de réaliser les pentests interne à distance. Il vous suffit de le brancher à votre réseau informatique pour nous donner un accès sécurisé.

-> Intéressé par la pentest’box ? Contactez-nous

Quand avoir recours à un test d’intrusion pour mon entreprise ?

Les tests d’intrusion peuvent être réalisés à différents moments en fonction de vos besoins :

Au moment du lancement d’un nouveau produit, ou de la sortie d’une nouvelle application. A ce moment, le pentest est très conseillé afin de permettre la correction de vulnérabilités avant la mise sur le marché.

Pendant la phase d’utilisation : Il convient de réaliser à intervalles réguliers des tests d’intrusions pour vérifier qu’il ne contient pas de failles de sécurité. En effet, un système d’information évolue en permanence, de nouvelles failles de sécurité peuvent donc apparaître à tout moment. Il en est de même pour les applications qui évoluent par le biais de mises à jour.

Après une cyberattaque : une fois la remise en service de votre système d’information, il convient de réaliser des tests d’intrusion permettant de relever les failles de sécurité encore présentes afin de mieux vous prémunir face aux futures attaques.

Une différence entre un pentest et un scan de vulnérabilité ?

Un pentest comme on le sait permet d’identifier et d’évaluer le niveau de sécurité d’un système d’information et d’en retirer les potentielles failles de sécurité. Le scan de vulnérabilités n’est qu’une des étapes du test d’intrusion, permettant uniquement de relever des vulnérabilités, sans toutefois les vérifier. Le pentes est beaucoup plus complet, car il permet d’évaluer la réalité et la criticité de chaque vulnérabilité découverte, grâce aux phases d’exploitation mises en oeuvre.

Vous souhaitez contrôler votre système d’information et protéger vos données et votre entreprise ? Contactez-nous !