Pentest / Test d’intrusion

Objectif

Le test d’intrusion (pentest) est un audit ayant pour objectif d’analyser le niveau de sécurité d’une cible (site web, application, réseau, etc.) et d’y rechercher d’éventuelles vulnérabilités, en mettant en œuvre des attaques réalises. Il permet, de façon pragmatique, de connaître finement les capacités de nuisance d’un attaquant et l’impact concret des vulnérabilités dont souffre une cible.

Notre démarche

Nous proposons une démarche en quatre étapes.

Définition de la cible et du plan d’intervention

Réunion de démarrage et validation du périmètre et modalités d’intervention

Mise en œuvre des scénarios d’attaque et consolidation des résultats

Livraison du rapport d’expertise et présentation en réunion

Définition du périmètre et des modalités d’un pentest

La phase initiale est destinée à définir avec précision le périmètre d’intervention, ainsi que le scénario d’attaque. Il est ainsi possible de simuler plusieurs types de menace grâce à un panel d’approches (boîte blanche/grise/noire) plaçant les auditeurs dans des positions différentes disposant, ou non, d’un accès légitime à la cible.

Vous choisissez le modèle de menace auquel vous exposez la cible et les modalités précises de l’audit. Vous pouvez ainsi exclure certains types d’attaque, préciser les horaires d’intervention, etc.

Déroulement d’un test d’intrusion

Un test d’intrusion se déroule habituellement selon un cycle itératif de quatre phases :

  • Prise d’empreinte : les auditeurs explorent la cible pour comprendre son architecture technique et fonctionnelle
  • Recherche de vulnérabilités : en fonction des technologies en présence, une recherche manuelle de vulnérabilité est réalisée
  • Exploitation : les vulnérabilités identifiées sont exploitées pour confirmer leur présence effective et qualifier finement leur impact
  • Rebond : l’exploitation pouvant offrir un accès à un nouveau composant de la cible, une nouvelle phase d’analyse est menée

Les analyses sont menées en prenant en compte le modèle de menace et les principaux risques pesant sur la cible, en fonction de son cas d’utilisation (fuite de données, prise de contrôle, etc.)

Les livrables d’un pentest

A l’issue de l’intervention, plusieurs livrables vous sont remis

Une synthèse de l’audit et une contextualisation des résultats obtenus

Des tableaux de synthèse avec les vulnérabilités identifiées et les actions correctives proposées

Une présentation technique et managériale de la démarche et des résultats

Nos références

TALKSPIRIT

Talkspirit est un éditeur de logiciel SaaS qui développe et distribue un réseau social d’entreprise pour des organisations de toute taille en France et à l’international. ACCEIS nous a accompagné dans divers projets de cybersécurité. Ils ont su entendre nos besoins, on fait preuve de professionnalisme et de réactivité tout au long des différentes missions. Au travers de nos deux applications, l’approche d’ACCEIS nous a permis de bénéficier d’une évaluation pragmatique de leur niveau de sécurité.

Luc BRETONES, Associé

ROOJAI

Nous travaillons avec ACCEIS depuis plusieurs années sur la sécurité de nos différentes applications et sites web, notamment grâce à l’organisation de tests d’intrusion réguliers. Au fil des années, nous avons pu apprécier leur professionnalisme et leurs compétences techniques en matière de sécurité applicative ce qui nous a permis d’établir une relation de confiance.
ACCEIS nous a toujours proposé des prestations de grande qualité, intervenant avec pertinence, pragmatisme et réactivité tout en faisant preuve d’une grande expertise technique dans leurs travaux d’analyse.

Stéphane Saintilant, DSI de ROOJAI
Test d’intrusion interne

Test d’intrusion du système de domotique

Audit d’architectureAudit Red Team

Recherche en sources ouvertes

Société Foncière Lyonnaise

La société foncière lyonnaise est foncière française spécialisée dans le patrimoine immobilier de haute qualité en région parisienne et plus principalement au sein du quartier central des affaires de Paris. Proposant des implantations dans des quartiers stratégiques à ses clients, la société foncière lyonnaise possède des bâtiments hébergeant des clients grands comptes.

Désireux de réaliser un état des lieux de la sécurité de ces bâtiments, la société foncière lyonnaise souhaitait faire évaluer le niveau de sécurité des installations par des experts en cybersécurité et en Immobilier.

ACCEIS est intervenu pour réaliser un test d’intrusion Red Team sur deux bâtiments situés à Paris, dans l’objectif de compromettre le réseau interne, en particulier les éléments de pilotage domotiques. En complément, un audit d’architecture de système d’information a été réalisé.

STACEM

UNE ÉQUIPE À L’ÉCOUTE DE NOS BESOINS

À l’heure où la cybersécurité devient un enjeu primordial dans la survie de l’entreprise et où l’implication dans cette démarche devient un véritable avantage concurrentiel pour accéder à de nouveaux clients et marchés, ACCEIS nous a permis, dans le cadre d’un audit organisationnel et technique parfaitement ciblé, d’améliorer significativement le niveau de sécurité de l’ensemble de notre système d’information.

Yann BOULLÉ, DSI de STACEM

Besoin d’être accompagné en cybersécurité ?