Avez-vous déjà entendu parler du Pentest ? C’est un test qui consiste à mettre en place des attaques ciblées contre un système d’information d’une organisation ou d’une entreprise. Il sert à détecter la vulnérabilité des applications web, des réseaux et des logiciels. Pour ce faire, le pentester utilise des méthodes utilisées par les pirates informatiques pour combler les failles de sécurité.
Mais, qu’est-ce qu’un Pentest ? Quelles sont les étapes à suivre pour exécuter un test de pénétration ?
Pentest : qu’est-ce que c’est exactement ?
Le Pentest est l’abréviation de « penetration testing » en anglais. Il est également appelé “test de pénétration” ou “test d’intrusion”. Il s’agit d’une méthode qui consiste à déterminer une cible en se comportant comme les hackers.
Les pentesters privilégient des méthodes bien spécifiques pour révéler la vulnérabilité des systèmes informatiques et des réseaux et leur sensibilité contre les tentatives de manipulation et de cambriolage, ainsi que pour réduire les risques potentiels. Ces méthodes sont semblables à celles utilisées par les personnes malveillantes pour accéder dans un système d’information sans permission. Lors d’un test d’intrusion, un enregistrement détaillé de l’ensemble des mesures prises est effectué. Les experts rédigent un rapport final présentant les vulnérabilités révélées et les solutions à mettre en place pour améliorer le niveau de sécurité informatique du réseau.
Quelle est la démarche à privilégier pour effectuer un Pentest ?
Le Pentest est une technique de détection des vulnérabilités des réseaux qui se déroule suivant une méthodologie bien précise. Voici les étapes à privilégier pour effectuer un test de pénétration.
Etape N°1 : la reconnaissance
La première étape consiste à collecter les données de la cible. Les sources de données peuvent varier selon le type du test. En effet, les sources externes accessibles à tous les utilisateurs ( réseaux sociaux, moteurs de recherche,… ) sont fréquemment utilisées.
Etape N°2 : la cartographie
La cartographie est l’étape qui permet d’effectuer un inventaire des actifs du système informatique ou du réseau interne ciblé. Lors de cette phase, l’expert de pentesting identifie les services publiés et les ports ouverts. L’objectif est de se focaliser sur les éléments critiques.
Etape N°3 : la recherche de vulnérabilités
La troisième étape d’un projet de pentesting consiste à identifier les vulnérabilités des systèmes, des sites internet et des applications à partir des informations récoltées.
Pour ce faire, le professionnel chargé du pentesting peut choisir l’outil à utiliser selon la cible. Après la détection des faiblesses, il est conseillé de les analyser manuellement.
Etape N°4 : l’exploitation des défaillances
Les étapes précédentes permettent à l’expert de pentesting de baliser le terrain avant d’exécuter un test de pénétration. Le pentester essaie d’accéder à un système d’information bien déterminé à travers de chaque vulnérabilité détectée. Il adapte les exploits à l’infrastructure de la société cliente.
Etape N°5 : l’élévation de privilèges
Suite à l’exploitation des vulnérabilités, le pentester peut jouer le rôle de l’administrateur du système. Il a, par exemple, l’éventualité de consulter des dossiers et données sensibles.
Pour une opération de purple team ou de red team, le professionnel doit maintenir ses avantages et en obtenir d’autres. Il doit, alors, se montrer prudent et compétent lors de l’exécution de ses tâches. Pour se reconnecter en tant qu’administrateur sans être remarqué, le pentester doit passer par une porte dérobée (backdoor). Il parviendra, par conséquent, à trouver des accès faciles aux membres de l’équipe chargée de l’exécution du test de pénétration.
Etape N°6 : la propagation
La sixième étape consiste à déterminer la portée d’une éventuelle intrusion. Elle consiste principalement à étendre la compromission d’un ordinateur serveurs web et aux autres équipements du parc informatique de l’entreprise. Cela permet d’explorer toutes les possibilités d’accéder aux données confidentielles de la société lors de la survenue d’une cyberattaque.
Etape N°7 : le nettoyage
Le nettoyage doit être effectué juste après un pentesting dans le but de rendre le système d’information de l’entreprise cliente dans son état d’origine.
Pour ce faire, le pentester doit effacer toutes les traces de sa pénétration dans le système d’information de l’entreprise cliente. Il ne s’agit pas des traces dans les journaux de log, mais plutôt des portes dérobées, des comptes de privilèges et des codes encoquillés (webshell).
Etape N°8 : le reporting
La dernière étape d’un projet de Pentest consiste à rédiger un rapport détaillé par le professionnel et le présenter à l’entreprise cliente. Le document comprend la méthodologie privilégiée, les failles du système d’information découvertes, ainsi que le plan d’action.