Définition et méthodologie du pentesting

Selon IBM, 60 % des cyberattaques exploitent des identifiants volés ou des vulnérabilités connues. Le coût moyen des attaques informatiques pour une entreprise dépasse le million d’euros. Face à cette menace, les tests d’intrusion comme le pentesting se révèlent une solution incontournable. Il s’agit d’une « cyberattaque préventive » visant à évaluer la robustesse d’un système informatique, d’une application ou d’un site internet avant que des acteurs malveillants ne l’exploitent. Le pentesting ne s’improvise pas, mais repose sur une méthodologie stricte que l’ESIEA enseigne à ses futurs ingénieurs. Zoom sur le pentesting !

Qu’est-ce que le pentesting ? 

Le pentesting (issu de l’anglais « penetration testing »), appelé aussi test d’intrusion informatique, permet d’identifier les failles logiques en mettant à l’épreuve le système d’information des entreprises. Seul un humain, le pentester, peut réaliser la détection des erreurs de logique métier (ex : problèmes de droits d’accès) ou d’éventuelles failles complexes invisibles aux robots. Le pentester, hacker éthique, enchaîne ainsi les failles des systèmes (chaining) pour simuler un scénario d’attaque réel, incluant l’ingénierie sociale (test du facteur humain). L’étape du pentest se différencie du bug bounty ou du simple scanner de vulnérabilité (outil automatique). En effet, le test de pénétration informatique est une démarche manuelle, humaine et créative qui vise à exploiter réellement les failles pour en mesurer l’impact concret. Il permet de renforcer la sécurité des systèmes informatiques. Au-delà du pentest classique, il existe également la Red Team (simulation d’attaque sans limites de périmètre ni de temps) ou la Purple Team (collaboration pédagogique entre attaquants et défenseurs).

Pourquoi faire du pentesting ?

Faire du pentesting est indispensable, car le coût de l’inaction peut dépasser le million d’euros, sans compter les coûts de remédiation technique. De plus, l’image de l’entreprise peut être ternie auprès de ses clients et fournisseurs, engendrant une perte de confiance et de chiffre d’affaires. Le pentesting est un investissement qui permet de sécuriser les systèmes ainsi que les failles de sécurité, d’éviter les pertes financières et de respecter les normes. En effet, le RGPD (depuis 2018) impose la sécurisation des données personnelles et le pentest est une preuve de diligence en cas de contrôle ou de fuite. Pour obtenir des normes comme ISO 27001, SOC 2, HDS (informations de santé) ou PCI-DSS (paiements), la réalisation de tests d’intrusions réguliers par un auditeur de qualité est une condition sine qua non. Le scanner de vulnérabilité se contente de lister des incidents et des failles connues automatiquement, tandis que le pentest est une analyse manuelle et contextuelle. 

Quels sont les différents types de pentest ?

On distingue trois approches (les « boîtes ») qui peuvent être menées successivement pour effectuer une analyse élaborée :

• Black Box (boîte noire) pour simuler une attaque externe réaliste sans informations préalables sur la cible ni de droits d’accès.
• Grey Box (boîte grise) qui permet d’opérer avec un niveau d’accès partiel (ex : compte utilisateur standard) pour tester les risques d’attaques internes ou l’élévation de privilèges (droits de l’administrateur système). Avec cette méthode, les hackers éthiques peuvent simuler plusieurs types d’attaques (vol de données, piratage, vulnérabilités exploitées…).
• White Box (boîte blanche) dont l’objectif est de travailler en transparence totale avec accès au code source et aux droits administrateur pour un audit exhaustif.