Tous les services Tests d’intrusion
Voyez comment un attaquant entrerait, avant qu’un vrai le fasse.
Nous attaquons vos systèmes comme le ferait un vrai attaquant, selon la portée que vous choisissez. Vous obtenez la preuve de ce qui fonctionne, de ce que ça expose, et la correction pour chaque constat.
Un client connecté pouvait consulter les factures de n’importe quel autre client en changeant un seul numéro dans la requête.
Requête · compte de test « client-b »
GET /api/v2/invoices/10482 HTTP/1.1 1
Host: portal.example-company.ca
Cookie: session=7f3c…e91aRéponse du serveur
HTTP/1.1 200 OK 2
{ "invoice": 10482,
"customer": "Client A inc.", 3
"total": 18450.00, … }- 1Seul le numéro de facture a été modifié. Celle-ci appartient au client A.
- 2Le serveur aurait dû refuser la demande (403 Forbidden).
- 3Le nom, l’adresse et les montants du client A ont été retournés.
Correctif : vérifier côté serveur, à chaque requête, que la facture appartient au compte connecté. Nouveau test : corrigé
Ce que nous testons
- Réseau externePare-feu, RPV, serveurs Web et services infonuagiques accessibles à tous.
- Réseau interneCe qu’un employé malveillant ou un portable infecté pourrait atteindre de l’intérieur.
- Applications WebPortails et applications : connexions, contrôle d’accès, logique d’affaires.
- Applications mobilesApplications iOS et Android, et les API qui les alimentent.
- Réseaux sans filWi-Fi invités et employés, points d’accès non autorisés, chiffrement faible.
- Ingénierie socialeHameçonnage et appels sous prétexte pour tester votre personnel.
- Matériel et IdOAppareils, caméras, contrôleurs et systèmes embarqués sur votre réseau.
Les faiblesses deviennent graves quand elles s’enchaînent
Les outils de balayage listent les problèmes un à un. Nous montrons comment ils s’enchaînent jusqu’à une vraie brèche.
- 01 Courriel d’hameçonnageUne commis aux finances entre son mot de passe sur une fausse page de connexion.
- 02 Portable d’employéLe même mot de passe ouvre le RPV. Aucune AMF.
- 03 Mot de passe réutiliséLe mot de passe administrateur local est identique sur tous les postes.
- 04 Serveur de fichiersLes droits d’administrateur donnent accès aux lecteurs partagés.
- 05 Dossiers clients4 200 dossiers clients lisibles et copiables.
Un vrai test d’intrusion trouve ce que les outils automatisés ne voient pas
Les balayages automatisés sont utiles, mais ils ne vérifient que des motifs connus. Ils n’enchaînent pas les faiblesses et ne comprennent pas votre entreprise, alors que c’est par là que passent les vraies attaques.
Deux objectifs différents
| Évaluation des vulnérabilités | Test d’intrusion | |
|---|---|---|
| La question à laquelle elle répond | Quelles faiblesses connues avons-nous, et lesquelles corriger en premier? | Un attaquant pourrait-il vraiment entrer, et jusqu’où irait-il? |
| Objectif | L’étendue : trouver le plus de problèmes connus possible | La profondeur : prouver l’impact réel sur ce qui compte le plus |
| Comment | Balayage automatisé, révisé par une personne | Des experts qui attaquent comme un vrai adversaire |
| Fréquence | Chaque mois ou chaque trimestre | Chaque année, ou après des changements majeurs |
| Ce que vous obtenez | Une liste classée des faiblesses connues | Des preuves, des chemins d’attaque et l’impact sur l’entreprise |
- TLS 1.0 activé sur mail.example-company.ca
- En-tête de sécurité manquant (X-Frame-Options)
- Version du serveur affichée dans la bannière
- Témoin sans attribut SameSite
- … 214 autres éléments faibles ou informatifs
- Factures de tous les clients lisibles en changeant un chiffre dans le portailOutil : non détecté
- Un thermostat intelligent sur le Wi-Fi invités a ouvert l’accès au réseau comptableOutil : non détecté
- Mot de passe de n’importe quel utilisateur réinitialisable par une faille du portail de soutienOutil : non détecté
- Administrateur du domaine obtenu en moins de 3 heures en enchaînant trois constats « faibles »Outil : chacun jugé faible
- Logique d’affairesUn outil voit une requête valide. Une personne voit qu’elle renvoie les données de quelqu’un d’autre.
- EnchaînementTrois problèmes « faibles » peuvent mener à un accès complet. Seule une personne fait le lien.
- Vérifié à la mainChaque constat est vérifié et prouvé, pour que votre équipe ne perde pas de temps.
- PreuveVous voyez exactement ce qu’un attaquant pourrait faire, ce qui rend la correction facile à justifier.
Ce que vous obtenez
- Sommaire pour la directionUne page pour la direction : le risque en termes d’affaires et quoi corriger en premier.
- Constats techniquesChaque constat classé par risque, avec les étapes pour le reproduire, la preuve et la correction.
- Nouveau testUne fois les corrections faites, nous revérifions et confirmons que les failles sont fermées.
Comment ça se passe
- Appel de cadrageNous convenons de ce qui est inclus, de ce qui ne l’est pas et de ce qu’est un bon résultat pour vous.
- Le travailL’expert qui a cadré le mandat le dirige et vous avise de tout élément urgent.
- RapportDes constats classés par risque, avec la correction pour chacun, présentés à votre équipe.
- SuiviNous répondons à vos questions et vérifions vos correctifs lorsque c’est prévu au mandat.
Quand en faire un
- Un audit l’exigePCI DSS, SOC 2 et ISO 27001 demandent un vrai test avec un vrai rapport.
- Votre assureur l’exigeUn test peut améliorer vos conditions, ou simplement vous permettre de garder votre couverture.
- Vous lancez quelque choseUne application, un portail ou une API. Corriger avant le lancement coûte bien moins cher.
- Vos TI ont changéUne fusion, une migration infonuagique ou un nouveau bureau change ce qu’un attaquant peut atteindre.
- Vous détenez des données sensiblesDes données de paiement, de santé ou personnelles augmentent les enjeux.
- Vous n’en avez jamais faitVous ignorez donc ce qu’un attaquant trouverait. Un premier test vous donne ce point de départ.
Les exemples sur cette page sont illustratifs et inspirés de constats réels courants.
Demander un test d’intrusion
Dites-nous ce qui se passe. L’expert qui dirigerait le mandat vous répond dans un délai de 1 à 2 jours ouvrables, en français ou en anglais.