1. Introduction
Ce document servira comme une instruction pour comprendre comment est organisé le test d’intrusion. Il explique sur l’aspect juridique, et le déroulement du test d’intrusion. Il n’est pas fait pour que vous appreniez à pirater les voisins ou dans votre entreprise. Je ne serai pas responsable de vos actes si vous ne déférez pas à la loi. Dans la section « aspect réglementaire« , il sera vous expliqué plus en détail à la loi Française sur la violation du système d’information qui pourra vous entraîner au pénal si vous manquerez les procédures de ce métier.
Donc, ce document s’adresse à des professionnels du métiers de la cybersécurité et aussi à des étudiants dans ce domaine qui recherchent des informations complémentaires pour sa formation.
Si vous avez bien compris, vous pouvez continuer la lecture.
2. Qu’est ce qu’un test d’intrusion?
Le test d’intrusion en Français ou Pentest en Anglais est une méthode d’évaluation de la sécurité d’un système d’information. A l’issu de ce test, on peut évaluer les risques qu’encours afin de remédier les erreurs ou les défauts de protection du système d’information de l’entreprise.
2.1 Type d’intrusion
1. Boite noire (Black box) les testeur n’a aucune information sur l’entreprise.
2. Boite grise (Grey box) le testeur a un nombre limité d’information sur l’entreprise.
3. Boite blanche (White box) le testeur possède les informations nécessaires pour entreprendre ses tests d’intrusion.
2.2 Avec quels outils?
Selon le goût et les habitudes de chacun, vous avez un embarras de choix en visitant sur ce site.
https://itsfoss.com/linux-hacking-penetration-testing/
Dans chaque distribution possède les outils standards et personnalisés propre à l’éditeur. Si vous êtes nouveau, vous pouvez tester une par une pour trouver celui qui vous conviendra le mieux.
2.3 Les différentes phases
Le test d’intrusion se compose en plusieurs phases. Chaque phase a son importante pour le déroulement de test.
1. Les règles de pré-engagement, cette phase consiste à régler juridiquement les accords sur la prestation. C’est-à-dire contractuellement les accords entrent les deux parties.
2. Reconnaissance, Cette phase consiste à faire la reconnaissance sur l’entreprise cible afin de récupérer le maximum d’information pour son travail de testeur.
3. Analyse de vulnérabilité, Cette phase consiste à analyser des vulnérabilité à partir des informations récupérées dans la reconnaissance afin de trouver des failles éventuelles.
4. Exploitation, Cette phase consiste à exploiter les failles dans la précédant phase. C’est-à-dire, exploiter ces failles pour trouver un accès physique ou logique et surtout garder les preuves d’intrusion.
5. Recherche et maintien d’accès, Cette phase consiste à maintenir d’accès une fois que l’intrusion effectué et apporter la preuve de pénétration.
6. Compte-rendus et rapports, Enfin, le compte-rendu et le rapport d’intrusion avec les preuves que vous avez effectué durant ces tests.
2.4 Les méthodes
Il existe plusieurs méthodes d’intrusion, à savoir les un et les autres ont les mêmes objectifs de trouver les failles dans le système d’information en test, sauf que la spécialisation est différente les uns et les autres :
|
3. Aspect réglementaire
Il faut savoir qu’une intrusion à une système d’information sans accord encours de deux ans d’emprisonnement et 30000€ d’amende, code pénal (art. 323-1). Il est donc nécessaire de passer à la phase « Les règles de pré-engagement » avant de commencer quoi que ce soit. Il est impérativement que vous vous protégiez juridiquement et de prouver contractuellement le consentement de l’organisme audité. L’auditeur a la possibilité de labellisé PASSI auprès de l’ANSSI pour assurer la qualité des organismes audités.
Dans le cas de sous-traité le test, il est obligatoire d’établir le contrat de sous-traitance (loi n° 75-1334 du 31 décembre 1975 relative à la sous-traitance – article 3).
Pour les tests chez les intermédiaires (Hébergeurs, CDN, Cloud, etc…) il est indispensable de vérifier les contrats ou demander l’autorisation (Code pénal. art. 323-2). Le prestataire du test doit respecter de la vie privée (Code civile. art. 9 du 10 juillet 1991, code pénal art. 226-15; al 2), puis il doit utiliser les outils de test prohiber ( Code pénal, art. 323-3-1). Tout doit éviter le dommage collatéral occasionné par le test (Code pénal. art. 323-2 rt 323-3). Autre part, le prestataire du test doit respecter la confidentialité des auditeurs (Code pénal. art. 226-13, responsabilité civile), les infractions révélés du test (Code pénal. art. 223-6, al 1, Code pénal. art. 434-1, al 1), ainsi que l’usurpation d’identité (Code pénal, art. 226-4-1) et le vol d’information (Code pénal, art. 311-1).
4. Règles de pré-engagement
Un test d’intrusion n’est pas simplement un « hack » de l’entreprise, mais plutôt l’identification des risques de business. Donc, l’intérêt des testeurs est l’adaptation du test d’intrusion aux besoins de l’entreprise.
4.1 Périmètre
Le périmètre est une des phases la plus importante des testeurs, souvent négligé qui produira un effet « client non satisfait » ou pire « illégal » . Il est idéalement décrit les coûts, du temps et de charge de travail pour éviter la surfacturation ou le dépassement non-respect des délais pour le testeur.
4.2 Le but
Chaque test d’intrusion devrait être axé sur les objectifs. Il ne s’agit pas de trouver des systèmes non corrigés. Il s’agit d’identifier les risques qui auront un impact négatif sur l’organisation.
4.3 Délai de paiement
Un autre aspect de la préparation de test que de nombreux testeur oublient complètement est la façon dont ils devraient être payés. Tout comme les dates de contrats, il devrait y avoir des dates et des modalités spécifiques pour le paiements.
4.4 Estimer le temps
Les estimations de temps sont liés à l’expériences du testeur dans une certaine aptitude. Il vaut mieux d’ajouter 20% supplémentaire afin de prévoir un éventuel incidents de planning. La re-facturation peut être revue si le test d’intrusion est terminé plus tôt que prévu.
4.5 Réunion
Lancer une réunion pour expliquer les différentes phases de tests et quelles personnes devront être informer les dates de début et fin de test. La planification sur GANTT peut être utiliser afin de montrer les différents jalons et expliquer le périmètre du contrat. Avant de commencer le test d’intrusion, toutes les cibles doivent être identifiés. Ces objectifs doivent être obtenus auprès du client lors de la phase initiale du questionnaire.
Il est important de définir si des systèmes comme le pare feu, IDS/IPS se trouvent entrent le testeur et la cible finale.
Etre informer si dans certaine situation d’où les applications sont hébergées par un tier :
- Cloud
- FAI
- Managed security service
- Pays où les serveurs sont hébergés
4.6 Définir le contexte ingénierie sociale
Les attaques par le spear-phishing ou autres sont très utilisés dans le test d’intrusion. Il est important de définir qui est possible ou pas, par email: sexe, drogue, etc…
4.7 Attaque par DDos
Le test de stress ou de déni de service devraient être discuter avant le début de l’engagement. Il peut s’agir d’un sujet auquel de nombreuses d’organisation sont mal à l’aise en raison de la nature potentiellement dommageable des tests.
5.2 Rapport
Le rapport d’un test d’intrusion doit contenir :
Puis une partie technique
Puis une partie du risque business
Puis conclusion générale |
