Qu'est-ce qu'un test de pénétration ?

Applications. Le testeur de pénétration utilise des outils automatisés et des tests manuels pour rechercher les vulnérabilités dans les applications et les bases de données connectées. Il peut s'agir d'examiner les fichiers binaires de l'application ou les processus d'autorisation, le chiffrement, le potentiel de SQLi et d'autres méthodes d'attaque similaires.

Réseaux. Le réseau doit faire l'objet de tests de pénétration rigoureux en tant que périmètre de sécurité de l'entreprise (du moins en théorie). Le processus implique généralement une analyse systématique des contrôles d'accès administratifs, du protocole de sécurité SSL, des protocoles de transport chiffrés, des certificats, de la segmentation du réseau, etc.

Cloud. Avec le cloud, le testeur de pénétration vérifie les configurations système, les interfaces de programmation d'applications (API) et le stockage. Le testeur peut également rechercher des instances cloud qui ont été configurées sans la mise en place des règles standard. C'est plus courant qu'on ne le pense. Un développeur bien intentionné, mais mal informé, peut déployer une application et une base de données sur une plateforme cloud sans appliquer de mesures de sécurité ni même informer quiconque de l'existence de l'instance cloud.

Processus de développement logiciel. Le flux de travail DevOps et le pipeline d'intégration continue/déploiement continu (CI/CD) sont des étapes où les développeurs introduisent involontairement des bugs et des erreurs de code, rendant l'application vulnérable. En effectuant des tests de pénétration automatisés sur les DevOps et le pipeline CI/CD, le testeur peut détecter des failles cachées qui ne peuvent pas être détectées avec l'analyse de code statique. Le testeur de pénétration tente également d'accéder au flux de travail de développement et d'insérer du code malveillant dans la base de code. Il fera de même avec les conteneurs comme Docker.

Appareils. Les ressources matérielles peuvent être vulnérables aux violations tout autant qu'un réseau ou une application. Un testeur de pénétration tente d'infiltrer l'appareil en utilisant les vulnérabilités présentes dans ses fichiers binaires d'application, dans son micrologiciel et dans son logiciel du système d'exploitation. Les testeurs de pénétration trouvent souvent des faiblesses dans les appareils dépourvus de correctifs de sécurité.

API. Un testeur de pénétration utilise une combinaison de processus de test d'API manuels et automatisés pour déterminer si une API présente l'une des 10 principales vulnérabilités de sécurité d'API selon l'Open Worldwide Application Security Project (OWASP). Par exemple, cela comprend l'autorisation brisée au niveau de la propriété de l'objet (BOLA). Dans le même temps, il vérifie qu'une API ne présente pas de limitation de débit ou de problème d'authentification des utilisateurs.

Les tests de pénétration offrent de nombreux avantages par rapport à d'autres modes de test de sécurité. Pour autant, il ne faut pas négliger l'importance et la nécessité d'effectuer d'autres tests, tels que les tests d'unité ou les tests fonctionnels. Cependant, les tests de pénétration permettent de détecter les failles de sécurité que d'autres processus ne peuvent tout simplement pas détecter.

En outre, les tests de pénétration peuvent dévoiler l'intégralité de la chaîne d'attaque, c'est-à-dire comment l'attaquant a découvert la vulnérabilité, l'a exploitée, a obtenu l'accès et a maintenu l'accès. Par conséquent, les tests de pénétration permettent aux équipes de sécurité de résoudre des problèmes systémiques, qui seraient autrement invisibles. Un test de pénétration, s'il est réussi, montre également l'efficacité d'un contrôle ou d'une contre-mesure. C'est d'autant plus important pour les questions de conformité aux réglementations telles que la norme PCI DSS et le RGPD.

L'approche en matière de test de pénétration varie en fonction du nombre et de la nature des cibles d'exploitation, du niveau d'informations disponibles ou recueillies par le testeur, ainsi que des outils, compétences et ressources dont le testeur dispose. Les différentes approches en matière de test de pénétration comprennent plusieurs méthodes de test en boîte :

Test de pénétration en boîte noire : une approche en boîte noire (également appelée boîte fermée ou test à l'aveugle) signifie que le testeur n'a aucune connaissance préalable du système cible et l'évalue uniquement depuis l'extérieur, afin de simuler une attaque réelle. Il utilise les tactiques les plus créatives et impartiales possibles, sans faire de suppositions. 

Test de pénétration en boîte blanche : dans une approche en boîte blanche (également appelée boîte ouverte ou transparente), le testeur de pénétration dispose d'un accès préalablement autorisé aux informations de sécurité de l'entreprise. Il effectue donc le test en étant informé. Cette approche permet au testeur de gagner du temps, puisqu'il n'a pas besoin de faire des suppositions. Cela lui permet potentiellement d'identifier davantage de risques. Elle fournit également des informations complètes sur le système cible, notamment les schémas de l'architecture, le code source et les fonctionnalités. Le testeur peut ainsi réaliser une analyse approfondie et détaillée, en identifiant des vulnérabilités plus profondes qui peuvent ne pas être visibles avec des informations limitées. 

Test de pénétration en boîte grise : dans une approche en boîte grise, l'équipe de hackers a accès à des informations partielles sur le système de l'entreprise. Par conséquent, elle a plus de chances d'identifier les vulnérabilités à haut risque et peut les résoudre en priorité.

Une approche furtive, ou en double aveugle, consiste à réaliser le test sans que les utilisateurs (y compris le personnel informatique) soient informés de son déroulement. Cela permet d'évaluer la capacité des équipes informatiques à répondre aux violations en temps réel. Ce type de test peut nécessiter de prévenir les forces de l'ordre en amont afin d'éviter toute fausse alerte.