4 étapes pour mener un test de pénétration réseau réussi
Le test de pénétration réseau est une composante essentielle de l’architecture de la sécurité de l’information aujourd’hui. Son importance n’a cessé de croître à mesure que les violations de données sont devenues plus sophistiquées au fil des ans, soulignant ainsi la nécessité de renforcer les systèmes de sécurité de l’information. La National Vulnerability Database (NVD) du National Institute of Standards and Technology (NIST) des États-Unis a enregistré un total de 180 532 vulnérabilités en 2020 seulement.
Le test de pénétration permet de mettre en lumière ces failles de vulnérabilité dans un système. Ce test de sécurité est réalisé par des hackers du « bon côté » que l’on appelle hackers éthiques. Cette précision est nécessaire car le piratage avait jadis une connotation négative et contre-culturelle. Plus jeune, l’une des choses qui m’a attiré vers l’informatique était l’attrait du hacker rebelle tel que dépeint dans les films et les séries télévisées.
Un de mes films préférés est « Arrête-moi si tu peux », principalement parce qu’il relate les exploits réels du faussaire de génie Frank Abagnale, Jr., qui serait devenu le cambrioleur de banque le plus prospère de l’histoire avant l’âge de 17 ans.
Want more from The CTO Club?
Create a free account to finish this piece and join a community of CTOs and engineering leaders sharing real-world frameworks, tools, and insights for designing, deploying, and scaling AI-driven technology.
Have an account? Log In
Plus concrètement, le film met en lumière l’importance et les leçons tirées de divers concepts liés au test de pénétration.
Test de pénétration : Pour attraper un voleur, il faut penser comme un voleur
Techniquement, Frank n’était pas un hacker mais son génie à découvrir et exploiter les vulnérabilités d’un système est comparable à la méthode utilisée tant par les hackers éthiques que malveillants.
En outre, le duel d’intelligence entre Frank et l’agent du FBI lancé à sa poursuite, Carl Hanratty, fait écho au jeu du chat et de la souris entre les acteurs malveillants et les professionnels de la cybersécurité chargés de défendre nos forteresses numériques.
Le test de pénétration simule le processus et les méthodes qu’un hacker utilise ou utiliserait pour compromettre un système. Tout comme l’agent Hanratty, les hackers éthiques doivent anticiper et penser selon les mêmes schémas malveillants suivis par les attaquants.
Si les hackers éthiques jouent un rôle clé dans les tests de pénétration réseau, les outils qu’ils utilisent sont tout aussi importants. Si vous utilisez Jira pour la gestion de projet, vous trouverez peut-être notre guide sur les outils de gestion de tests pour Jira utile afin d’optimiser vos efforts de hacking éthique.
Test de pénétration : La meilleure défense est toujours une attaque solide
Frank a finalement trouvé la rédemption en devenant une autorité respectée dans les domaines de la cybercriminalité, de l’escroquerie, de la falsification et des documents sécurisés. Il a réorienté sa recherche originelle du crime en aidant les banques à identifier les faiblesses de leur système.
Le test de pénétration réseau vise le même objectif : combler les vulnérabilités en matière de sécurité pour aider les organisations à protéger leurs données sensibles. Ainsi, les hackers éthiques et le hacking éthique jouent un rôle fondamental dans le paysage actuel de la cybersécurité.
Mais ceux qui protègent l’information à l’ère numérique évoluent dans un environnement où l’équilibre des forces leur est déjà défavorable.
« Pour protéger l’infrastructure informatique qui leur est confiée, les experts en cybersécurité doivent avoir raison tout le temps. Un hacker, lui, n’a besoin d’avoir raison qu’une seule fois. »
La difficulté de jouer la défense est accentuée par le manque de professionnels IT possédant l’expertise et l’expérience adéquates. Selon Forbes, il y a 465 000 emplois cyber non pourvus rien qu’aux États-Unis.
Le test de pénétration réseau constitue, au moins, un pas dans la bonne direction.
Cet article traitera des sujets suivants :
- Qu’est-ce qu’un test de pénétration réseau ?
- Les types de tests de pénétration réseau
- Qui est généralement responsable de la réalisation d’un test de pénétration ?
- Guide en 4 étapes pour réussir un test de pénétration
Qu’est-ce qu’un test de pénétration réseau ?
Un test de pénétration réseau (appelé aussi « pen test ») vise à identifier les vulnérabilités d’un système logiciel en simulant une cyberattaque. Cette attaque simulée permet également d’évaluer la capacité de résistance de la sécurité de l’information d’une organisation en mesurant sa faculté à résister à une intrusion ou à un compromis.
Pour atteindre cet objectif, les hackers éthiques ou agissant en tant que white hats déploient intentionnellement les méthodes et techniques utilisées par des agents malveillants. Mais dans ce cas, c'est afin de découvrir et de corriger ensuite les faiblesses ou vulnérabilités dans le profil de sécurité du système.
Bien que le but soit de compromettre un système, les hackers éthiques doivent disposer d'un accès légal et autorisé. Ainsi, un pentester doit posséder un mandat documenté ou une autorisation de l'organisation permettant aux opérations de hacking éthique d'avoir lieu.
En fin de compte, les résultats permettent aux professionnels du réseau et de la cybersécurité de formuler des recommandations qui amélioreront le réseau et la sécurité globale de l'organisation contre les attaques futures.
En plus des évaluations au niveau du réseau, les tests d'intrusion englobent également des tests au niveau applicatif, ainsi que des vecteurs d'accès à distance comme les connexions VPN.
Le test d'intrusion a généralement deux objectifs principaux :
- Déterminer si des hackers malveillants peuvent obtenir un accès non autorisé à un système, comment ils pourraient contourner ses défenses de sécurité pour y parvenir, et l'impact de ces activités sur les journaux du système, les fichiers, les données clients, et/ou la propriété intellectuelle.
- Déterminer si des mesures et contrôles de sécurité, tels que la gestion des vulnérabilités, sont en place pour renforcer la sécurité de l'infrastructure informatique.
Un test de pénétration est un excellent moyen d'apprendre et de comprendre le niveau de risque auquel une entreprise est exposée. Il permet à une organisation de déterminer si ses actifs numériques peuvent être compromis, et le cas échéant, de classer ensuite les risques que ces menaces font peser sur sa cybersécurité globale.
Voici quelques avantages supplémentaires liés à la réalisation d’un test d’intrusion :
- Prévenir la survenue d'intrusions réseau et de violations de données
- Comprendre et établir la base de référence du réseau
- Tester les contrôles et composants de sécurité
- Protéger la sécurité du système et du réseau
Types de tests de pénétration réseau
Il existe plusieurs façons d’aborder les tests de pénétration. Pour évaluer l’infrastructure de sécurité globale d’une organisation, cela peut se faire selon deux perspectives : soit par des méthodes internes, soit externes.
- Test de pénétration réseau interne : Ce test permet d’évaluer les dommages que peuvent causer les attaquants lorsqu’ils parviennent à s’introduire initialement dans le réseau. Les tests internes visent à reproduire les menaces internes au sein du périmètre de l'entreprise et à mesurer l’étendue des actions malveillantes ou involontaires menant à la compromission des actifs d’information.
- Test de pénétration réseau externe : Ces tests évaluent l’efficacité des défenses périmétriques du réseau. Ils vérifient la capacité des contrôles de sécurité externes à détecter et prévenir les attaques.
Un autre type d’approche pour catégoriser les tests de pénétration repose sur le degré d’information fourni et le niveau de connaissance du testeur.
- Test en boîte blanche : Il s’agit de l’approche la plus approfondie car elle permet aux testeurs de vérifier et d’inspecter le fonctionnement interne d’un système. Les hackers white box disposent ainsi de la meilleure connaissance possible du système.
- Test en boîte noire : Ici, le hacker éthique commence avec un niveau de connaissance minimal. Ce type de test sert à simuler des attaques par force brute, puisque le hacker ignore la complexité du fonctionnement interne de l’infrastructure ciblée.
- Test en boîte grise : Cette méthode constitue un compromis entre les deux approches précédentes. L’équipe de test dispose alors d’une connaissance partielle du système.
Les tests de pénétration peuvent aussi être classés selon leurs composants et vecteurs d’attaque.
- Ingénierie sociale : Cette méthode cible l’aspect humain et représente ainsi l’un des maillons les plus faibles dans la cybersécurité d’une entreprise. Elle est souvent mise en œuvre par le biais d’hameçonnage par email.
- Test de l’infrastructure réseau : Ce test interroge le réseau pour détecter les lacunes et les vulnérabilités exploitables sur les points d’accès internes ou externes. Ces tests ciblent généralement des aspects tels que les tentatives de contournement de pare-feu, la tromperie des IPS ou les attaques au niveau DNS.
- Test du réseau sans fil : Ce test exploite les réseaux sans fil non protégés en mettant au jour les vulnérabilités et en évaluant les dégâts potentiels qu’ils pourraient occasionner.
- Test de sécurité des applications web : Ce test vise à exploiter les failles dans la logique applicative et la gestion de session pour réaliser notamment des attaques par injection SQL.
Qui est généralement responsable de la réalisation d’un test de pénétration ?
Les tests de pénétration sont réalisés par des hackers éthiques ayant obtenu l’autorisation d’effectuer des attaques simulées sur l’application web ou la sécurité réseau d’une organisation. Une permission légale est nécessaire car le pentesting est souvent mené par des tiers proposant des services de tests d’intrusion.
Les testeurs d'intrusion qui tentent de pénétrer un système font partie de ce qu'on appelle l'équipe rouge. Les membres de l'équipe rouge sont des professionnels de la sécurité offensive chargés de tester les défenses de l'organisation. L'équipe rouge identifie les vecteurs d'attaque pouvant être utilisés pour compromettre la sécurité et révéler les vulnérabilités de l'organisation, en utilisant des techniques d'attaque issues du monde réel.
D'autre part, l'équipe bleue est composée de professionnels du numérique qui se concentrent sur les mécanismes de défense en matière de cybersécurité. En pratique, ils défendent contre l'équipe rouge et assurent la maintenance des défenses internes contre les menaces de cyberattaques.
Guide en 4 étapes pour réaliser un test d'intrusion réussi
En tant qu'exercice systématique, un test d'intrusion requiert des méthodologies et des cadres standardisés pour être mené efficacement. Les tests d'intrusion suivent généralement des méthodes éprouvées afin de traiter la présence de vulnérabilités réelles ou potentielles dans un système applicatif.
Quatre étapes principales sont généralement impliquées dans l’exécution d’un test d’intrusion réseau réussi.
Étape 1 : Collecte d'informations et détermination du périmètre
La phase de collecte d'informations a normalement lieu au début de l'exercice de test de sécurité. Cependant, elle peut aussi constituer un processus itératif et auto-renforçant, qui a lieu tout au long du test d’intrusion réseau à mesure que des intrusions réussies fournissent plus d’informations sur la cible.
À ce stade, les professionnels de la sécurité et les experts en test interagissent avec l'organisation pour identifier et répertorier tous les actifs du réseau tels que les pares-feux et autres dispositifs.
Le processus de collecte d'informations inclut la définition du périmètre et la clarification des attentes du client.
Définition du périmètre des tests d’intrusion
Pour réussir, un test d’intrusion doit être une activité disciplinée et ciblée. En effet, il n’est pas toujours réalisable ou économiquement viable d’examiner l’ensemble du périmètre d’une infrastructure informatique. Ainsi, une étape importante de la phase de collecte d'informations consiste à déterminer le périmètre du test d'intrusion.
La définition du périmètre consiste à résumer toutes les limites et frontières d’intervention que l’équipe de sécurité explorera pendant le processus de test. Ainsi, le périmètre du test définit son niveau d’intrusion, et la délimitation des frontières d’intervention se fait lors de cette étape.
En raison des contraintes de temps et d’autres considérations pratiques, certaines parties du système, comme les appareils connectés, peuvent être exclues lors du test.
Étape 2 : Reconnaissance et découverte
Pour comprendre comment corriger les vulnérabilités, les hackers éthiques doivent effectuer une reconnaissance approfondie. Cela est particulièrement nécessaire pour les tests d'intrusion en boîte noire, où le hacker éthique doit trouver lui-même les informations nécessaires à l’exploitation des vulnérabilités.
La reconnaissance et la découverte sont des mécanismes exploratoires utilisés pour passer en revue l’ensemble de l’infrastructure de sécurité d’une organisation. Cette phase permet aux experts en sécurité de sonder discrètement les ressources et la posture de sécurité de leur cible.
Outils de reconnaissance active
La reconnaissance active implique de sonder et d’interroger directement le système cible pour obtenir une réponse exploitable.
Pour mener à bien un test d’intrusion réseau, il est crucial de comprendre les techniques clés et les outils de test d’intrusion en entreprise nécessaires à une telle reconnaissance. Voici quelques outils utilisés pour réaliser des tests d’intrusion :
- Scan de ports : Il s’agit d’une méthode de reconnaissance populaire utilisée pour déterminer les ports ouverts sur un système. Le scan de ports permet à un testeur d’intrusion d’évaluer la robustesse de la sécurité réseau et les services actifs sur une machine. Cet outil révèle quels ports sont ouverts et reçoivent des informations (à l’écoute) en plus de faciliter le fingerprinting. Le fingerprinting d’un réseau permet à l’utilisateur de découvrir des dispositifs de sécurité comme les pare-feux entre l’émetteur et la cible. Les scans de ports furtifs, capables de passer inaperçus dans les fichiers journaux d’un système, sont de première importance pour les pirates informatiques.
- Des exemples d’outils de scan de ports incluent Nmap ou Network Mapper, TCP Port Scanner, Port Authority, NetScanTools, etc.
- Reniflage de paquets : Ces outils permettent de détecter et d’observer les paquets de données circulant sur un réseau. Les outils de reniflage de paquets sont également appelés analyseurs de paquets ou de protocoles réseau. Les administrateurs réseau s’en servent pour surveiller leurs réseaux afin de repérer des paquets usurpés, des adresses IP errantes et la génération suspecte de paquets à partir d’une seule adresse IP. Mais les pirates les utilisent pour rechercher des services réseau vulnérables, comme des ports et protocoles, et mettre en œuvre des attaques de type « homme du milieu ».
- Des exemples d’outils de sniffer de paquets incluent Wireshark, Nmap ou Network Mapper,
- Balayage ping : Les balayages ping permettent d’établir une plage d’adresses IP correspondant à des hôtes actifs. Cette technique d’analyse réseau peut effectuer un ping sur plusieurs adresses simultanément. Un hacker utilise ce type de sonde réseau pour envoyer un ensemble de paquets ICMP ECHO à des serveurs afin de voir lesquels répondent. Cela permet de déterminer quels systèmes sont en ligne.
- Parmi les exemples d’outils de balayage ping, citons SolarWinds IP Address Manager (IPAM), ManageEngine OpManager, et PingPlotter Pro.
- Analyse de vulnérabilité : Il s’agit d’outils utilisés pour identifier les problèmes de configuration et autres vulnérabilités connues au sein des réseaux et des hôtes, comme la présence de logiciels malveillants. Cependant, il est important de bien comprendre la différence entre test d’intrusion et analyse de vulnérabilité.
- Des exemples incluent Nessus, Acunetix, Nexpose, et bien d’autres.
- Test de sécurité des applications web : Ces outils sont indispensables pour tester la sécurité des applications web à chaque étape et détecter les faiblesses dans leur configuration. Des méthodes telles que l’analyse statique et dynamique sont utilisées pour découvrir des vulnérabilités dans le code logiciel des applications.
- Des plates-formes intégrées comme Burp Suite regroupent plusieurs applications pour tester et sécuriser les applications web avec des outils comme des scanners avancés, un proxy d’interception, un outil d’intrusion et un séquenceur.
- Ingénierie sociale et requêtes d’informations sur Internet : Les attaques d’ingénierie sociale servent avant tout à obtenir subrepticement un accès aux systèmes d’information en dupant les utilisateurs pour qu’ils fournissent leurs identifiants.
La découverte est la conséquence logique d’une reconnaissance réussie. Lorsque vous découvrez et identifiez une voie de compromission du réseau, vous passez à l’action pour exploiter ces risques de sécurité.
Étape 3 : Exploitation, exécution et escalade
L’étape suivante du test d’intrusion est l’exploitation effective des faiblesses décelées dans les systèmes de sécurité de l’information lors de la reconnaissance. L’objectif de cette phase est de mesurer jusqu’où le hacker éthique peut pénétrer dans le système sans se faire détecter.
Ces attaques simulées se déroulent dans un environnement contrôlé où le testeur choisit soit la voie d’attaque la plus simple, soit l’exploitation la plus critique sur la base des informations recueillies en reconnaissance. Certaines de ces attaques incluent l’injection SQL, le cross-site scripting, le débordement de mémoire tampon, l’escalade de privilèges, etc.
Le framework le plus couramment utilisé pour configurer la cible de l’exploit et la charge utile à utiliser à ce stade est Metasploit.
Une fois qu’un attaquant a réussi à s’implanter dans le système, il peut pivoter et s’enfoncer plus profondément afin de compromettre d’autres ressources comme des machines sous Linux ou Windows vulnérables.
Étape 4 : Rapport et remédiation
Après la conclusion du test de pénétration, le ou les testeurs doivent rédiger un rapport sur les résultats pour l'organisation. Ce rapport doit inclure les détails du processus, les vulnérabilités découvertes, les preuves recueillies ainsi que des recommandations pour la remédiation.
La remédiation implique le processus important de correction des failles de sécurité identifiées lors des tests. Cela doit susciter une discussion approfondie sur les moyens les plus efficaces pour remédier à chacune des vulnérabilités découvertes.
La remédiation peut englober un large éventail d’actions telles que :
- Mise en place de correctifs et mises à jour logicielles
- Application de modifications de configuration ou opérationnelles
- Développement et introduction de nouvelles mesures de sécurité, procédures et outils
Renforcez votre réseau avec les tests de pénétration
Le but du test de pénétration est de rendre votre réseau et votre système de sécurité de l'information plus sûrs, en permettant aux consultants en sécurité d'examiner et d'évaluer leur efficacité. Une fois ces faiblesses identifiées, il incombe à l'organisation d'atténuer les risques détectés.
Abonnez-vous à la newsletter The QA Lead pour en savoir plus sur les tests de bout en bout adaptés à l'échelle.
Lectures associées :
À découvrir également :
- INGÉNIERIE DE LA QUALITÉ MODERNE : COMMENT REDÉFINIR LA STRATÉGIE QUALITÉ POUR LES CADRES AGILES
- QU’EST-CE QUE TESTGEAR ? PRÉSENTATION & TOUR DES FONCTIONNALITÉS
Liste d’outils associés :
