Pourquoi les tests d’intrusion doivent devenir un réflexe stratégique pour les DSI et RSSI ?
Dans un contexte où les cyberattaques se professionnalisent et se multiplient, les organisations ne devraient plus se contenter de mesures de sécurité génériques. Les cyber-attaquants, eux, testent réellement et concrètement vos défenses. Ainsi, la seule manière de savoir si votre système d’information résistera à une attaque, c’est de le mettre concrètement à l’épreuve. C’est précisément le but des tests d’intrusion, réalisés par des prestataires de cybersécurité spécialisés, tels que Metsys.
Pourtant, le retour d’expérience terrain en avant-vente test d’intrusion montre que beaucoup d’organisations hésitent encore : manque de temps, manque de budget, ou simple méconnaissance de ce qu’un test d’intrusion bien mené apporte réellement.
Aussi, cet article vise à clarifier les bonnes pratiques et à montrer pourquoi un test d’intrusion n’est pas un luxe, mais un outil de pilotage indispensable de la cybersécurité d’une organisation. Nous nous plaçons ici dans le cas où une organisation envisage de faire appel à un prestataire proposant des services de test d’intrusion (« pentests »).
1. Définir un cadre clair : le prérequis d’un test d’intrusion
Un test d’intrusion efficace commence toujours par une définition précise du périmètre.
Le prestataire et le client (commanditaire) doivent ainsi définir ensemble :
- le périmètre exact :
- si test d’intrusion web : URL, nom de domaine, voire adresses IP ;
- si test d’intrusion infra : plages réseau, …
- les objectifs :
- détection d’un maximum de vulnérabilité et confirmation de failles, dans un temps imparti ;
- validation de critères de sécurité : disponibilité, intégrité, confidentialité.
- les contraintes opérationnelles (ex. : plages horaires spécifiques, systèmes réputés sensibles et/ou critiques à exclure) ;
- le niveau d’information fourni à l’auditeur (boîte noire, grise ou blanche)
Cette étape est cruciale : un test mal cadré produit des résultats incomplets, voire inutilisables, sans parler du fait de potentiellement tomber dans l’illégalité !
Aussi, de manière rigoureuse, il est recommandé que ces éléments de contexte (besoins, contraintes, etc.) soient formalisés dans le document de proposition commerciale, envoyé par le prestataire à son (potentiel futur) client.
D’ailleurs, ce document de proposition commerciale peut en devenir sensible, puisqu’il embarque potentiellement des éléments sur les actifs stratégiques du S.I. du client, des scénarios offensifs déjà identifiés à confirmer, voire des éléments de « vulnérabilité avérée » du client (ex : machines exclues car connues pour ne pas pouvoir supporter un test d’intrusion). Le document est donc à considérer confidentiel (ce qui ne semble pas forcément évident au premier abord).
2. Encadrer juridiquement la prestation
Un test d’intrusion n’est pas un audit classique. Il implique des actions offensives, qui tombe par défaut sous le coup du Code Pénal (Art 323, aliéna 1).
Il doit donc être strictement encadré, avec des éléments contractuels et juridiques spécifiques :
- mandat d’audit (aussi appelé convention) signé par le client, en tant que commanditaire, et le prestataire, en tant qu’auditeur, voire l’infogérant du client aussi (ex : hébergeur web) ;
- clauses de confidentialité (si pas déjà en place par ailleurs) ;
- assurance du prestataire (NB : cette dernière doit prendre en charge ce type d’activités !) ;
- des Conditions Générales de Vente (CGV), adaptées à ce type de prestation de service.
En fait, pour un DSI ou un RSSI côté client, c’est aussi une manière de sécuriser la mission vis‑à‑vis de la Direction et des équipes internes.
Cependant, il est important de garder en tête que le prestataire a un vrai rôle de conseil à jouer. Par exemple, un client souhaite un test d’intrusion sur son site web, mais il ignore que ce dernier est en fait hébergé chez un hébergeur tiers et de surcroit, en hébergement mutualisé, ce qui interdit juridiquement (le plus souvent) le test d’intrusion : c’est au prestataire d’alerter son client (qui n’en sera d’ailleurs probablement pas un sur ce sujet, à moins de franchir les limites légales, hélas !)
3. S’appuyer sur des méthodologies reconnues
Un test d’intrusion réalisé de manière rigoureuse ne repose pas sur l’intuition seule d’un consultant, mais bien sur des référentiels éprouvés, tels que :
Ces référentiels et cadriciels garantissent une approche structurée, reproductible et complète.
Ainsi, même si le rapport de test d’intrusion ne contient pas de trouvaille extraordinaire en termes de vulnérabilités, le client peut évaluer la profondeur et la rigueur d’analyse du prestataire, ce qui a un impact direct sur la confiance qui peut être placée dans le rapport.
[1] Cf. https://owasp.org/www-project-web-security-testing-guide/
[2] Cf. http://www.pentest-standard.org/index.php/Main_Page
[3] Cf. https://www.isecom.org/OSSTMM.3.pdf
[4] Cf. https://learn.microsoft.com/en-us/advanced-threat-analytics/ata-threats
4. Reconnaissance et analyse : comprendre la surface d’attaque
Avant d’« attaquer », un bon attaquant prestataire de test d’intrusion réalise une phase de reconnaissance.
Ainsi, il collecte des informations publiques (ROSO, ou OSINT[1]), énumère les services exposés, identifie les technologies utilisées et analyse les vulnérabilités potentielles qui leurs sont associées, afin de se construire un ou plusieurs chemins d’attaque possibles.
Cette phase permet d’ailleurs de comprendre comment un attaquant réel aborderait votre organisation, et donc la surface d’exposition du périmètre audité.
Chez Metsys, nous intégrons très souvent à cette phase une vérification « Dark Web » pour l’organisation nous ayant mandatés pour réaliser le test d’intrusion. Cela permet fréquemment de découvrir d’autres comptes utilisateurs, mais aussi des mots de passe compromis, etc.
[1] Cf. https://mooc.osintfr.com/course/view.php?id=4
5. Exploitation contrôlée : tester la réalité du risque
L’exploitation des vulnérabilités est quelque part le cœur du test d’intrusion.
Elle consiste à vérifier si les vulnérabilités identifiées sont réellement exploitables, et ce que pourrait en tirer un cyber-attaquant, ex. :
- compromission de comptes ;
- élévation de privilèges ;
- mouvements latéraux ;
- contournement de mécanismes de sécurité ;
- accès illégitime à des données sensibles.
C’est pourquoi un « bon » prestataire se doit d’agir avec prudence et rigueur, afin de limiter au maximum possible les effets de bord sur la production.
Cependant, le risque 0 n’existe pas ! Ainsi, autant un test d’intrusion réalisé sur un environnement de production a l’avantage d’être le plus réaliste possible, autant il faut prendre en compte le risque d’effets de bord sur la production, malgré toutes les précautions que peuvent prendre les auditeurs.
6. Post‑exploitation : mesurer l’impact réel
Une vulnérabilité n’est pas seulement un score CVSS.
Ce qui intéresse généralement le client (commanditaire), type RSSI ou responsable applicatif, c’est l’impact métier :
- quelles données auraient pu être exfiltrées ;
- quels systèmes auraient pu être compromis ;
- quel scénario d’attaque aurait été possible
C’est cette analyse qui permet de prioriser les actions de remédiation.
7. Un rapport clair, hiérarchisé et exploitable
Le rapport est en fait la partie clef du test d’intrusion, bien que parfois sous-estimée.
Pourtant, c’est le rapport qui conditionne la capacité de l’organisation commanditaire à corriger efficacement ce qui a été découvert durant le test d’intrusion.
Un « bon » rapport de test d’intrusion doit contenir :
- une synthèse exécutive compréhensible par la Direction du client ;
- une analyse technique détaillée des vulnérabilités confirmées et des impacts potentiels associés, pour les équipes techniques du client ;
- l’explication de la, ou des méthodologies ainsi que référentiels, utilisés par les auditeurs ;
- des preuves claires des « trouvailles » des auditeurs, justifiant leurs conclusions ;
- un tri par criticité des vulnérabilités identifiées et de leurs impacts ;
- des recommandations concrètes et réalistes, mais surtout priorisées par rapport au contexte du client, sans oublier, impérativement, le contexte cyber (ex. : cyber-attaques en cours, modes opératoires les plus courants, évolutions de bonnes pratiques, …).
Par RETEX métier, il apparaît qu’un rapport trop focalisé sur la technique côté découverte et confirmation des vulnérabilités, perd une bonne partie de sa valeur s’il n’accompagne pas suffisamment le client dans la remédiation.
8. Remédiation et re‑test : la boucle de sécurité
Sur le plan sécurisation du S.I., un test d’intrusion n’est efficace que si les vulnérabilités sont corrigées à posteriori.
Ainsi, les bonnes pratiques recommandent :
- un re‑test (aussi appelé « contre-audit ») pour valider les corrections, c’est d’ailleurs ce que nous proposons en option à nos clients, par défaut ;
- une mise à jour éventuelle du rapport final, après qu’il a pris connaissance du rapport, et qu’il y a eu échange entre les auditeurs et les équipes de prod.
NB : c’est cette boucle vertueuse qui améliore réellement la posture de sécurité.
Par contre, les bonnes pratiques veulent que ce ne soit pas l’auditeur qui soit aussi celui qui remédie, afin de ne pas être juge et partie. Par conséquent, cela peut être éventuellement un autre pôle du même prestataire qui opère les remédiations si le client le souhaite, comme c’est le cas chez Metsys, mais normalement pas le pôle d’audit lui-même.
9. Choisir un prestataire compétent et certifié
Les compétences de l’auditeur font toute la différence, ou presque. Au-delà de l’expérience elle-même qui s’acquiert avec le temps, c’est bien souvent les certifications qui attestent d’une expertise.
Ainsi, les certifications les plus reconnues en test d’intrusion sont bien souvent les suivantes :
- OSCP+[1] ;
- CPTS[2], qui tend à devenir celle de référence ;
- CWES[3], anciennement CBBH (NB : spécialisée web) ;
- CRTE[4] (NB : spécialisée AD et Entra ID), CRTO (NB : spécialisée Cobalt Strike) ;
- CISSP[5], notamment pour le manager de l’équipe, ça rassure certains clients !
Ce sont d’ailleurs celles que nous nous attachons à faire obtenir (et conserver) par nos consultants, chez Metsys.
Mais au-delà de ces notions de certifications techniques, il est important de rappeler qu’un « bon » prestataire doit aussi être capable de dialoguer avec les équipes internes, vulgariser et contextualiser, ainsi que rédiger sans faire de fautes.
[1] Cf. https://www.offsec.com/products/oscp-plus/
[2] Cf. https://academy.hackthebox.com/preview/certifications/htb-certified-penetration-testing-specialist
[3] Cf. https://academy.hackthebox.com/preview/certifications/htb-certified-web-exploitation-specialist
[4] Cf. https://www.alteredsecurity.com/redteamlab
[5] Cf. https://www.isc2.org/certifications/cissp
10. Tester régulièrement : la sécurité n’est pas un événement ponctuel
Un test d’intrusion n’est simplement pas une case à coche annuellement, pour répondre à une exigence de conformité dans un questionnaire.
Non, c’est un outil de pilotage continu de la cybersécurité, à activer par ex. :
- chaque année pour les systèmes critiques ;
- après tout changement majeur en production ;
- lors de l’ouverture d’un nouveau service exposé ;
- dans le cas d’une fusion-acquisition d’entité ;
- suite à un incident cyber majeur ;
- dans le cadre de la conformité aux exigences réglementaires (RGPD, NIS2, DORA, SecNumCloud…)
En effet, les attaquants évoluent en permanence. Par conséquent, vos pratiques pour évaluer votre niveau de cybersécurité, notamment par tests d’intrusion, doivent aussi évoluer.
Conclusion : le « pentest », un investissement stratégique
Pour un DSI ou un RSSI, un test d’intrusion n’est pas seulement un exercice technique. En fait, c’est un outil contribuant à la gouvernance cyber, un moyen de démontrer concrètement le niveau de maîtrise des risques cyber, de prioriser les plans d’actions ains que les investissements, et de renforcer la résilience globale de l’organisation.
Dans un monde où les cybermenaces sont devenues une certitude, la question n’est plus :
“Doit‑on faire un test d’intrusion ?” mais plutôt : “Peut‑on se permettre de ne pas en faire ?”
Les équipes de Metsys restent à votre disposition si vous souhaitez aller plus loin sur ces sujets !