Qu'est-ce qu'un test d'intrusion (pentest) ?

Savoir qu'une faille existe ne dit pas ce qu'elle permet. Un test d'intrusion répond à cette question en se mettant à la place d'un attaquant, dans un cadre autorisé et maîtrisé. Le terme anglais pentest, pour penetration test, désigne la même chose. Voici comment il fonctionne et comment le préparer.

Que cherche un test d'intrusion ?

Un scanner automatique dresse une liste de vulnérabilités possibles. Le testeur, lui, vérifie si elles sont exploitables et les combine comme le ferait un attaquant. Les résultats sont donc concrets :

• consulter les factures d'un autre client en modifiant un numéro dans l'URL ;
• obtenir des droits d'administrateur à partir d'un simple compte utilisateur ;
• contourner l'écran de connexion ou la double authentification ;
• récupérer un fichier de configuration contenant des mots de passe ;
• rebondir d'un serveur exposé vers le réseau interne.

Boîte noire, grise ou blanche : quelles différences ?

Ces trois approches se distinguent par la quantité d'informations données au testeur au départ.

La boîte noire paraît la plus réaliste, mais une grande partie du temps part en reconnaissance. À budget égal, la boîte grise permet souvent de tester davantage de fonctions.

Quels types de tests d'intrusion existe-t-il ?

• Externe : tout ce qui est visible depuis Internet, serveurs, messagerie, accès à distance.
• Applicatif : un site, un espace client, une application mobile ou une API.
• Interne : ce que permet un poste branché sur le réseau de l'entreprise.
• Sans fil : la robustesse des réseaux Wi-Fi.
• Ingénierie sociale : la manipulation des personnes, par exemple un e-mail de phishing ou un faux appel du support.

Comment se déroule un pentest ?

1. Cadrage : périmètre précis, dates, origine des tests, contacts d'urgence, tests exclus comme ceux qui pourraient saturer le serveur.
2. Convention d'autorisation : document signé par le propriétaire du système.
3. Reconnaissance : cartographie des éléments exposés et des technologies utilisées.
4. Recherche de vulnérabilités : outils et vérifications manuelles.
5. Exploitation contrôlée : démonstration de l'impact, sans dégrader les données.
6. Rapport et restitution : scénarios, preuves, gravité, corrections.
7. Contre-test : vérification des corrections.

Pourquoi l'autorisation écrite est indispensable

Le Code pénal sanctionne le fait d'accéder ou de se maintenir frauduleusement dans un système informatique. Sans autorisation écrite du propriétaire, un test d'intrusion n'est pas un test : c'est une attaque. Si le site est hébergé chez un prestataire ou s'appuie sur des services en ligne, lisez leurs conditions : certains encadrent ou interdisent les tests sur leur infrastructure.

Tester en production donne l'image la plus fidèle, avec un risque de perturbation. Une préproduction identique limite ce risque, à condition que sa configuration soit vraiment la même. Dans les deux cas, faites une sauvegarde avant de commencer.

Comment préparer un test d'intrusion ?

• Fixez l'objectif : protéger les données clients, valider une mise en ligne, répondre à la demande d'un partenaire.
• Listez le périmètre : domaines, sous-domaines, applications, API et environnements concernés.
• Préparez des comptes de test pour chaque rôle, afin de vérifier qu'un utilisateur ne voit pas ce qui ne le concerne pas.
• Prévenez les bonnes personnes : hébergeur, prestataires et équipe qui surveille les alertes, pour qu'un test ne soit pas pris pour une vraie attaque.
• Réservez du temps après le rapport : un test sans corrections planifiées ne réduit aucun risque.

Ce qu'un test d'intrusion ne dit pas

Le test est limité dans le temps et dans son périmètre. Ne pas trouver de faille ne prouve pas qu'il n'y en a aucune. Une fonction ajoutée le mois suivant n'a pas été testée. Le pentest complète donc les mises à jour régulières, la surveillance et la sensibilisation des équipes, sans les remplacer. Pour cadrer un premier test, voyez l'offre d'audit de sécurité de NexSecure.