Pen Test (test de pénétration)
Le pen testing, parfois appelé hacking éthique ou pen testing, est le processus consistant à tester un système ou un réseau électronique pour identifier les faiblesses de sécurité que les attaquants pourraient exploiter. Le pen testing peut être automatisé à l’aide de logiciels ou effectué manuellement. Quel que soit le cas, la procédure consiste à rassembler des détails sur le sujet avant le test et à identifier les points d’entrée potentiels, à essayer de pénétrer – virtuellement ou réellement – puis à rendre compte des résultats.
L’objectif principal des tests de pénétration est de découvrir les faiblesses de sécurité. Les tests de pénétration permettent également d’évaluer les politiques de sécurité d’une organisation ainsi que sa conformité aux exigences et la conscience de la sécurité de ses employés, ainsi que la capacité de l’organisation à reconnaître et à réagir aux failles de sécurité.
En général, les informations concernant les failles de sécurité qui ont été détectées ou exploitées grâce au test d’intrusion sont collectées et partagées avec les administrateurs réseau et informatiques de l’entreprise et les responsables du réseau, ce qui leur permet de décider de la meilleure marche à suivre et de hiérarchiser les mesures correctives.
Les tests de pénétration sont souvent décrits comme des « attaques en chapeau blanc » car, dans un pen test, les gentils tentent de pénétrer.
Le but des tests de pénétration
L’objectif principal des tests de pénétration est de détecter les faiblesses du dispositif de sécurité d’une entreprise et d’évaluer l’efficacité de ses politiques de sécurité, de tester la sensibilisation des membres du personnel aux questions de sécurité et de déterminer si – et de quelle manière – l’entreprise est susceptible de subir des catastrophes en matière de sécurité.
Les tests de pénétration peuvent également révéler les faiblesses des politiques de sécurité d’une entreprise. Par exemple, bien que la politique de sécurité puisse se concentrer sur la prévention ou la dissuasion des attaques contre les systèmes de l’entreprise, elle peut ne pas inclure une méthode pour éliminer les pirates.
Responsabilités du test d’intrusion
Les responsabilités en matière de tests de pénétration varient en fonction des différentes combinaisons de systèmes en nuage et sur site. Les rapports générés par un test d’intrusion offrent les informations nécessaires à une organisation pour décider des investissements qu’elle envisage de faire pour améliorer sa sécurité. Ces rapports peuvent aider les développeurs à créer des applications plus sûres. Si les développeurs peuvent comprendre comment les pirates ont pu pénétrer dans les applications qu’ils ont développées, ils seront encouragés à améliorer leur formation en matière de sécurité afin de ne plus commettre des erreurs similaires à l’avenir.
Quand faut-il effectuer des tests de pénétration ?
L’organisation devrait effectuer des tests d’intrusion fréquemment – au moins tous les ans, afin de garantir une meilleure sécurité du réseau et de la gestion de l’informatique. En plus des analyses et des tests requis par la réglementation, les tests de pénétration peuvent être effectués à tout moment où l’organisation le souhaite :
- de nouvelles applications ou infrastructures réseau
- des mises à niveau ou des modifications majeures de son infrastructure ou de ses applications
- établit des bureaux dans de nouveaux sites
- installe des correctifs de sécurité ; ou
- modifie les politiques des utilisateurs finaux.
Cependant, les tests d’intrusion n’étant pas une approche universelle, la décision de savoir si une organisation doit s’engager dans un test de pénétration dépend de divers autres facteurs, tels que
- La taille de l’entreprise. Les entreprises dont la présence en ligne est plus importante sont plus vulnérables aux canaux d’attaque et constituent des cibles potentielles plus attrayantes pour les pirates.
- Les tests de pénétration sont coûteux et une entreprise disposant d’un budget plus faible pourrait ne pas être en mesure de les réaliser chaque année. Une entreprise disposant d’un budget plus faible pourrait être en mesure de réaliser le test une fois tous les deux ans, tandis que celles disposant d’un budget plus important pourraient être en mesure de réaliser un test de pénétration une fois par an seulement.
- Conformité et réglementations. Certains secteurs sont légalement tenus d’effectuer certaines fonctions de sécurité, dont les tests d’intrusion.
- Une organisation qui possède une infrastructure en nuage peut ne pas être autorisée à effectuer des tests sur l’infrastructure en nuage du fournisseur. Cependant, le fournisseur de cloud est en mesure de réaliser lui-même des pen tests.
Les procédures de pen testing doivent être adaptées à l’organisation spécifique et au secteur dans lequel elle opère. Elles doivent comporter un suivi et une évaluation afin que les faiblesses découvertes lors du test d’intrusion soient mises en évidence lors des tests ultérieurs.
Outils de test d’intrusion
Les testeurs utilisent généralement des outils automatisés pour trouver des vulnérabilités dans les applications courantes. Les outils de pentesting analysent le code pour trouver dans les applications un code malveillant qui pourrait entraîner une attaque contre la sécurité. Les outils de test d’intrusion testent les techniques de cryptage des données et peuvent détecter les valeurs codées en dur comme les mots de passe et les noms d’utilisateur, afin d’identifier les failles de sécurité.
Les outils de test de pénétration doivent être en mesure de :
- être simples à mettre en place, à déployer et à utiliser
- être capables de scanner facilement le système
- catégoriser les vulnérabilités en fonction de la gravité de leur impact, c’est-à-dire celles qui doivent être traitées immédiatement ;
- automatiser le processus d’identification des vulnérabilités
- vérifier les exploits précédents et
- créer des journaux et des rapports de vulnérabilité détaillés.
La majorité des instruments de test de pénétration les plus populaires sont des logiciels libres ou gratuits qui permettent aux testeurs d’altérer ou de modifier le code pour répondre à leurs besoins spécifiques. Les outils de test d’intrusion à code source ouvert ou gratuit les plus connus sont les suivants :
- Le projet Metasploit est un projet open source qui appartient à la société de sécurité Rapid7 qui accorde des licences pour les versions complètes du logiciel Metasploit. Il combine des outils populaires pour tester la pénétration qui peuvent être utilisés sur des serveurs ainsi que sur des applications et des réseaux en ligne. Metasploit est un outil qui peut aider à trouver des vulnérabilités, à identifier les risques de sécurité, à tester les vulnérabilités et à gérer le processus de sécurité.
- Nmap, dont l’abréviation est « network mapper », est un scanner de ports qui vérifie les réseaux et les systèmes à la recherche de vulnérabilités dans les ports ouverts. Il est dirigé vers l’adresse ou les adresses IP du réseau ou du système à scanner et vérifie ensuite les ports ouverts de ces systèmes. Nmap peut également être utilisé pour suivre la disponibilité des hôtes ou des services, et pour identifier la surface d’attaque des réseaux.
- Wireshark est un instrument permettant de profiler le trafic réseau et d’analyser les paquets réseau. Wireshark permet aux organisations de voir les détails les plus infimes de ce qui se passe dans leurs réseaux. L’outil de pénétration utilisé est un analyseur de réseau, un renifleur de réseau ou un analyseur de protocole qui analyse la vulnérabilité du trafic réseau en temps réel.
- Wireshark est couramment utilisé pour étudier les spécificités du trafic réseau à différents niveaux.
John the Ripper intègre divers craqueurs de mots de passe dans un seul logiciel. Il identifie automatiquement les différents types de hachages de mots de passe et crée un craqueur personnalisé. Les testeurs de mots de passe utilisent généralement ce programme pour attaquer afin de trouver les faiblesses des mots de passe dans les bases de données ou les systèmes.
Les testeurs de pénétration utilisent un grand nombre des techniques employées par les pirates informatiques pour diverses raisons, notamment parce que les outils sont bien documentés et largement accessibles, et parce que cela permet aux testeurs de pénétration de mieux savoir comment utiliser ces outils contre leurs organisations.
Stratégies pour les tests de pénétration
Un aspect crucial de tout plan de test de pénétration est de définir la portée des tests de pénétration. Généralement, le champ d’application est défini par les lieux, les systèmes et les techniques qui sont utilisés pour mener à bien le test d’intrusion. En limitant la portée du test, on aide les membres de l’équipe à se concentrer et à défendre les systèmes que l’entreprise contrôle.
Par exemple, si les testeurs d’intrusion parviennent à accéder à un système parce qu’un employé a laissé un mot de passe non protégé, cela peut révéler de mauvaises pratiques de sécurité de la part des employés.
Voici quelques-unes des meilleures stratégies de pen test utilisées par les spécialistes de la sécurité :
Le pen test est mené par l’équipe informatique de l’entreprise ainsi que par l’équipe de test de pénétration qui travaillent ensemble. Cette méthode est souvent appelée « lights on » car tout le monde est en mesure d’observer le test en cours.
Les tests externes ciblent les dispositifs ou les serveurs qui sont visibles de l’extérieur d’une organisation, tels que les serveurs de noms de domaine ainsi que les serveurs web, les serveurs de messagerie ou les pare-feu. L’objectif est de déterminer si un attaquant extérieur est capable d’y accéder et dans quelle mesure il est capable d’y accéder une fois qu’il y est parvenu.
Les tests internes simulent une attaque interne sur le pare-feu, réalisée par un utilisateur autorisé disposant de droits d’accès standard. Ce type de test peut être utile pour estimer l’ampleur des dégâts que peut causer un employé mécontent.
Les tests effectués en aveugle imitent les actions et les méthodes que suivrait un véritable attaquant, en limitant les informations fournies à l’individu ou au groupe qui effectue le test au préalable. En général, les testeurs ne sont identifiés que par le nom de l’entreprise. Ce type de test peut prendre beaucoup de temps et s’avérer coûteux.
Le test en double aveugle va un peu plus loin. Pour ce type de test, seules quelques personnes au sein de l’organisation peuvent savoir que des tests sont en cours. Le test en double aveugle est une bonne option pour tester la sécurité des protocoles de surveillance, d’identification des incidents et de réponse aux incidents d’une organisation.
Le test en boîte noire est identique au test en aveugle, sauf que le testeur ne reçoit aucune information avant le début du test. Au lieu de cela, il doit se débrouiller pour contourner le système.
Le test en boîte blanche donne aux testeurs de pénétration des informations sur le réseau qu’ils testent avant de commencer leur travail. Il peut s’agir d’informations telles que les adresses IP, les diagrammes de l’infrastructure réseau, les protocoles utilisés, ainsi que le code source.
Les tests d’intrusion en tant que service (PTaaS) fournissent aux experts en informatique (TI) les outils dont ils ont besoin pour réaliser et mettre en œuvre des tests d’intrusion périodiques et ad hoc.
L’utilisation de différentes stratégies de tests d’intrusion permet aux équipes de tests d’intrusion de se concentrer sur des systèmes spécifiques et de connaître les types de menaces les plus importantes.
Quels sont les différents types de pentest ?
Avançons-nous, avec subtilité et discernement, dans l’univers du pentest, aussi appelé « test d’intrusion » dans la langue de Molière. Cette pratique, ayant pour objectif de mettre à nu les vulnérabilités au sein d’un système informatique, est de trois types : le black box, le white box et le grey box.
En premier lieu, le black box est une approche dans laquelle le pentesteur œuvre sans aucune connaissance préalable du système à auditer, à l’image d’un assaillant « réel ». Par conséquent, le défi consiste à pénétrer le dispositif par les mêmes brèches exploitables par un véritable hacker. Une myriade de techniques sont employées en ce sens, oscillant entre modalités directes et indirectes.
Par contraste, le white box, lui, s’inscrit dans un cadre où le pentesteur bénéficie d’une vision exhaustive du système cible. Les architectures, les codes sources, les schémas fonctionnels ; tout est mis à contribution pour assurer une exploration consciencieuse et minutieuse. Néanmoins, le luxe de cette pratique réside dans sa capacité à résorber presque intégralement les zones d’ombres.
Enfin, pour compléter ce triptyque, le grey box se dresse comme une hybride parfaite entre le « black » et le « white ». Plus précisément, dans cette approche, le pentesteur possède une certaine connaissance du système testé, sans pour autant en détenir toutes les clés. Ce modèle s’avère particulièrement utile lorsque l’objectif est une campagne de tests plus ciblée, préférable lorsque les ressources sont limitées.
Pourquoi faire du pentest ?
Face à l’essor exponentiel du digital, la pertinence du pentest ne fait que s’accroitre. En effet, cette pratique a su s’imposer comme un outil de choix dans le cadre de l’évaluation des risques informatiques. La question qui se pose est donc : pourquoi investir et en apprendre davantage sur le pentest ?
Principalement, sa réalisation permet de déceler les vulnérabilités avant qu’elles ne soient exploitées par des individus malveillants. Ces faiblesses qui auraient autrement pu rester cachées apparaissent clairement lors des essais, permettant ainsi de les corriger. Une protection renforcée contre d’éventuelles attaques est ainsi assurée, renforçant la sérénité des administrateurs ainsi que la confiance des utilisateurs.
Par ailleurs, le pentest s’annonçe comme une action privilégiée pour assurer une conformité réglementaire, notamment face aux régulations comme le RGPD. Pouvoir justifier de la sécurité offerte par ses systèmes informatiques est une obligation légale pour plusieurs organisations et le pentest offre cette assurance.
Au-delà des avantages tangibles, le pentest se profile comme une méthode proactive d’assurer la résilience des systèmes. Ainsi, au lieu d’attendre passivement une éventuelle attaque, les entreprises prennent les devants, adoptant une posture défensive tout en identifiant les zones de faiblesse.
Néanmoins, l’ultime raison – et non des moindres – qui pourrait inciter à l’adoption du pentest serait l’éducation. En effet, comprendre les vulnérabilités existantes et les techniques d’exploitations viables favorise une prise de conscience et aide à développer une politique de sécurité plus forte, plus résiliente.
L’un des atouts majeurs du pentest réside également dans sa capacité à protéger une organisation contre les retombées financières et de réputation en cas d’infraction. Les coûts associés à une violation de données peuvent être astronomiques, sans même mentionner le dommage irréparable
