Un test d’intrusion, et ce qu’il n’est pas
Un test d’intrusion, c’est quelqu’un qui tente d’entrer, avec autorisation et dans un cadre convenu. C’est autre chose qu’un scan qui liste des faiblesses connues. Les deux sont utiles ; ils répondent à des questions différentes et se distinguent d’un facteur dix en coût.
Scan, test, et quand recourir à l’un ou l’autre
On les emploie l’un pour l’autre, ce qui crée de mauvaises attentes.
- Scan de vulnérabilitésAutomatisé, rapide et reproductible. Trouve les vulnérabilités connues et les correctifs manquants. Doit tourner périodiquement, car il s’agit d’entretien et non d’un projet.
- Test d’intrusionUne personne qui tente réellement d’exploiter et de combiner les faiblesses trouvées. Trouve ce qu’un scanner ne voit pas : une faille de logique, un problème de droits, une chaîne de trois petites choses.
- Quand recourir à l’un ou l’autreOn scanne en continu. On teste à l’occasion d’une nouvelle application, après une modification importante, ou parce qu’un client ou une norme l’exige. Tester sans avoir scanné, c’est payer cher des constats qu’un scanner aurait relevés.
Quatre points qui doivent figurer à la commande
Ils décident de la valeur du test et de son déroulement sans casse.
- Ce qui entre dans le périmètreQuels systèmes, quelles adresses, quelles applications. Ce qui n’y figure pas n’est pas testé, et c’est exactement ce qui manquera au rapport.
- Ce que le testeur sait d’avanceDe ne rien savoir à disposer d’un compte et de la documentation. En savoir plus donne davantage de constats à durée égale ; ne rien savoir montre jusqu’où va un tiers. Choisissez sciemment.
- Ce qui est interditPas d’interruption de production, pas d’emport de données réelles, pas de pression sur les collaborateurs. Mettez-le par écrit, sinon cela s’improvise pendant le test.
- Qui est au courantVotre propre équipe d’exploitation le sait-elle ? Sinon, vous testez du même coup la détection. Si oui, vous ne testez que la technique. Les deux sont un choix, pas un détail.
Ce qui va avec
Tester, c’est contrôler tout ce qui a été bâti avant.
Savoir où cela cède vraiment
Dites-nous ce qui doit être testé et pourquoi. Vous recevez une proposition avec le périmètre, l’approche et le contenu du rapport.
Des connaissances informatiques concrètes dans votre boîte mail
De nouveaux guides sur la gestion, la sécurité et le poste de travail, écrits par ceux qui font le travail. Sans discours commercial, et la désinscription se fait en un clic.