LMi-MAG 12 mars - Flipbook - Page 52
FOCUS
Sécurité
PENTEST : COMMENT
LES HACKERS ÉTHIQUES
SIMULENT DES ATTAQUES
Connaître les outils, les étapes et les méthodes pour trouver les vulnérabilités
avant les pirates : tel est le rôle des « pentesteurs » ou hackers éthiques.
L
Josh Fruhlinger, IDG NS (adapté par Jean Elyan)
e test de pénétration, ou pentesting,
est un processus par lequel un professionnel de la sécurité simule une
attaque sur un réseau ou un système
informatique afin d’en évaluer la sécurité, avec l’autorisation des propriétaires du système. Mais il ne faut
pas se laisser abuser pas le mot « simuler » : le testeur d’intrusion ou pentesteur utilise tous
les outils et techniques des pirates malintentionnés du
monde réel pour s’attaquer au système cible. Cependant,
au lieu d’utiliser les informations qu’ils découvrent ou
le contrôle qu’ils parviennent à obtenir à des fins d’enrichissement personnel, ou autres, ils communiquent
leurs résultats aux propriétaires des systèmes cibles afin
qu’ils puissent renforcer leur sécurité.
Parce que le pentesteur utilise les mêmes
méthodes que son pendant malveillant,
les tests d’intrusion sont parfois appelés « hacking éthique » ou « white hat
hacking ». Les premiers testeurs d’intrusion avaient souvent commencé comme
pirates malveillants avant d’agir dans un
cadre légitime, mais c’est moins le cas aujourd’hui. Les termes « red team » ou « red
teaming », dérivés du nom donné à l’équipe
qui joue le rôle d’ennemi dans les scénarios
de guerre simulés par l’armée, sont aussi
52 / mars / avril / mai 2022
utilisés pour désigner ces hackers éthiques. Les tests
d’intrusion peuvent être réalisés par des équipes ou des
pirates individuels, lesquels sont soit employés de l’entreprise cible, soit travaillent de manière indépendante
ou pour des entreprises de sécurité qui fournissent des
services de tests d’intrusion spécialisés.
Fonctionnement du test d’intrusion
Pris au sens large, le test d’intrusion fonctionne exactement de la même manière qu’une tentative réelle
d’intrusion dans les systèmes d’une entreprise. Les
pentesteurs commencent par examiner et prendre
l’empreinte des hôtes, des ports et des services réseau
associés à l’entreprise cible. Ils recherchent ensuite les
vulnérabilités potentielles de cette surface d’attaque,
et cette recherche peut se poursuivre par un sondage
plus étendu du système cible. Finalement,
SÉCURITÉ RÉSEAU IT :
le but est d’essayer de pénétrer dans le
FIREWALL, FILTRAGE
périmètre de leur cible et d’accéder à
URL, GESTION DE
des données protégées ou de prendre le
LOGS, PRÉVENTION
contrôle de leurs systèmes.
D’INTRUSIONS
Cahier des charges
cutt.ly/IT-Firewall
Bien sûr, les procédures peuvent varier
considérablement. En effet, il existe différents types de tests d’intrusion (voir plus
loin). Mais il est important de noter en premier lieu que le type exact de test effectué
et la portée de l’attaque simulée doivent