Pentest

Méthodes de tests d'intrusion

Parmi les approches les plus courantes, on retrouve les tests de type Blackbox, Whitebox et Greybox (avec différents niveaux d'accès connus), réalisés tant dans un contexte interne qu'externe. Chacune de ces méthodes offre une perspective unique sur les vulnérabilités potentielles, en fonction du niveau d'accès et de la connaissance préalable des systèmes.

Ces tests s'appuient sur des méthodologies reconnues et respectées dans le domaine de la cybersécurité, telles que l'OWASP, l'OSSTMM et le PTES. Ces cadres méthodologiques garantissent que les évaluations sont menées de manière systématique et rigoureuse, assurant ainsi la fiabilité des résultats obtenus.

À l'issue de chaque test, des rapports détaillés sont fournis, accompagnés de recommandations pratiques pour remédier aux failles identifiées.
Ces rapports sont stratégiquement divisés en trois catégories :

•  le rapport technique, qui fournit des détails approfondis sur les vulnérabilités découvertes ;
• le rapport managérial, qui présente une synthèse des résultats et des recommandations adaptées aux décideurs ; 
•  l'executive summary, qui offre une vue d'ensemble concise destinée à la direction.

Cette approche vise à faciliter la gouvernance des projets de sécurité, notamment en vue de certifications telles que l'ISO 27001, qui requiert une gestion rigoureuse des risques liés à la sécurité de l'information.

Test de profil sur une machine de l’entreprise

Le test de profil d’utilisateur dans un Pentest vise à identifier les failles de configuration et de sécurité des comptes utilisateurs sur une machine spécifique. Les résultats offrent une vue détaillée des vulnérabilités potentielles et permettent de recommander des actions pour sécuriser les comptes utilisateurs.

Ce test permet de vérifier si des comptes sont correctement protégés et si les privilèges et configurations des utilisateurs sont suffisamment restreints pour limiter les risques de compromission. L’objectif est de simuler des scénarios d'attaques visant à exploiter les failles liées aux profils d’utilisateurs pour accéder à des informations sensibles ou augmenter les privilèges.

Escalade de privilèges : Les profils utilisateurs mal configurés peuvent permettre à un attaquant d’augmenter ses privilèges sur la machine, obtenant ainsi des droits administratifs qui lui ouvrent l’accès à des informations et ressources sensibles.

Accès aux données sensibles : Certains comptes peuvent donner accès à des fichiers ou répertoires contenant des informations confidentielles, telles que des bases de données, des configurations ou des identifiants.

Utilisation de mots de passe faibles ou par défaut : Les comptes utilisateurs ou administrateurs peuvent être configurés avec des mots de passe simples ou par défaut, facilitant les attaques de type brute-force ou dictionnaire pour en prendre le contrôle.

Exploitation des configurations d'accès distant : Si des comptes sont configurés pour permettre l'accès distant via des services comme RDP, VNC ou SSH, ils peuvent être exploités si les configurations de sécurité sont insuffisantes.

Persistence via comptes utilisateurs : Un attaquant peut chercher à utiliser un profil d’utilisateur légitime pour établir une présence persistante sur la machine et surveiller ou manipuler les activités.

Vous souhaitez faire ce type de test ? 
N'hésitez pas à nous contacter.

Test de Meeting room

Le test de la salle de réunion dans le cadre d’un pentest a pour but d’identifier les points faibles des dispositifs de connectivité et des pratiques d’utilisation dans cet espace stratégique.

Exploitation des dispositifs connectés : De nombreux appareils comme les téléphones de conférence, écrans connectés, ordinateurs, tablettes, ou encore les systèmes de vidéoconférence, sont souvent connectés au réseau interne. Un pentester pourrait tenter d’y accéder pour pivoter vers d’autres ressources du réseau de l’entreprise.

Accès aux prises réseau : Certaines salles de réunion disposent de prises Ethernet, permettant un accès physique au réseau. Si celles-ci ne sont pas correctement segmentées ou sécurisées, elles peuvent permettre à un attaquant de se connecter directement au réseau interne.

Interception des communications : Les réunions peuvent impliquer des conversations sensibles et des conférences vidéo. Un pentester peut essayer d’intercepter ces communications en exploitant des failles dans les systèmes de vidéoconférence ou en utilisant des dispositifs d’écoute (micros espions, par exemple).

Exploitation de l'équipement personnel : Les participants utilisent souvent leurs ordinateurs portables, tablettes ou smartphones, potentiellement vulnérables ou connectés au réseau Wi-Fi de l’entreprise. Un attaquant peut essayer de les compromettre pour accéder à des informations personnelles ou professionnelles.

Vous souhaitez faire ce type de test ? 
N'hésitez pas à nous contacter.