• La première phase d’un test d’intrusion est la construction en deux étapes de l’environnement de sa cible.
• Informations en sources ouvertes (OSINT) : on recherche d’abord les informations publiées sur la cible du test, que ce soit par la cible elle-même ou par des tiers. Par exemple, on interrogera les bases de données Whois, les DNS, mais aussi les appels d’offre ou les annuaires pour trouver la liste des employés.
• Cartographie d’un réseau (network recon) : il s’agit cette fois d’appréhender l’environnement uniquement technique de la cible pour reconstruire le plan de son système d’information. Cela passe aussi bien par des contacts directs (scan de ports), des tests (envoi de mail à une adresse inexistante) que l’utilisation des informations précédemment découvertes pour affiner la topologie, à l’aide par exemple des appels d’offres pour déterminer les anti-virus déployés chez la cible. La cartographie du réseau s’affinera tout au long du test. Les intervenants évoqueront également les principaux protocoles rencontrés et les architectures de réseau. Les technologies Wi-Fi seront également abordées.

• Une fois acquise la cartographie du réseau ciblé, il faut déterminer le plan d’attaque.
• Le plus souvent, ce sont les serveurs contenant des données sensibles qui suscitent l’intérêt. Cette partie de la formation reviendra sur les différentes failles susceptibles d’être rencontrées et sur les méthodes de tests pour en déterminer la présence et potentiellement la portée.
• Erreurs de configuration : par exemple des droits trop « lâches » sur un partage de fichiers qui permettent des élévations de privilège.
• Applicatives : exploits, développement et fiabilisation, etc.
• Web : injections (PHP, SQL, XML, etc.)
• Bases de données : récupération d’informations sensibles et compromission du système d’exploitation.
• Failles structurelles : « pass the hash » et autres ruses.
• Faiblesses dans les protocoles : ARP, Kerberos, DNS, SMB, etc.
• Réseaux industriels, ICS et SCADA : découverte de ce monde, programmation industrielle et revue des faiblesses intrinsèques à cet environnement.

Dans cette partie, les intervenants présenteront à la fois l’exploitation des failles (Web par exemple) et les outils permettant d’avancer dans la prise de contrôle du réseau.

• Outils de manipulations de protocoles, de dump de mots de passe et outils pour les « casser ».
• Exploitation de vulnérabilités dans les systèmes et applications pour obtenir un premier accès.
• Topologie des réseaux Windows (Active Directory), puisque ce sont ceux qui sont majoritairement déployés, des réseaux Unix, et des topologies mixtes Windows/Unix avec leurs contraintes spécifiques.
• Rebond entre systèmes et déplacements latéraux.
• Maintien dans le système cible (persistance) et utilisation de relais pour progresser dans le réseau.

L’ensemble de ces connaissances seront utiles jusqu’au dernier moment où un challenge de deux jours, sous la forme d’un Capture the Flag (CTF), permettra de « s’affronter » entre candidats. Le but est de mettre en situation les candidats sur un cas simulé, mais néanmoins très proche de la réalité, de test d’intrusion d’une entreprise.

La méthode de restitution du test d’intrusion sera également abordée tout au long de l’enseignement : il est en effet essentiel de savoir présenter ses résultats, en fonction de l’environnement de la cible. Le test d’intrusion, s’il suit une logique offensive, se veut avant tout défensif. Les participants doivent donc apprendre à proposer des recommandations pertinentes et cohérentes avec l’environnement, en trouvant le bon compromis entre coût de déploiement et efficacité.