Pentest : définition et mode d’emploi

Qu’est-ce qu’un pentest ?

Définition d’un pentest

Un pentest, ou test d’intrusion, est en quelque sorte une "cyberattaque préventive" réalisée à la demande d'une organisation pour évaluer la robustesse de ses systèmes d'information (SI). Elle consiste à tenter de s’infiltrer dans un réseau, un site internet, une application, un objet connecté pour identifier les failles potentielles et les corriger avant qu'il ne soit trop tard. 

Le pentest est réalisé par un expert en Cybersécurité connu sous le nom de Pentester ou Hacker éthique en français.

Origines du pentesting

Depuis plusieurs décennies, le pentesting s’est imposé comme une pratique indispensable pour sécuriser les systèmes d'information des entreprises comme des organismes publics. Les origines de cette technique remontent à une conférence organisée en juin 1965 par la System Development Corporation (SDC), afin de traiter la crise informatique en cours à cette époque aux États-Unis. En marge de cette rencontre, un agent du SDC a effectué une intrusion dans le système de la SDC en contournant la protection de l'ordinateur AN/FSQ-32 construit par IBM, le même modèle que celui possédé par la CIA.

L'impact de cette intrusion informatique fut sans appel : les État-Unis décidèrent de former des professionnels dans ce domaine clef, et dès 1967 le mot "penetration" fut choisi pour définir juridiquement la violation d'un système de sécurité informatique.

Si le piratage informatique est aussi vieux que les ordinateurs, les techniques d'attaque des hackers se sont complexifiées avec le temps. C’est ce qui rend aujourd'hui les pentesters très prisés sur le marché du travail. Pour s’assurer une protection maximale, les grands groupes privés comme les institutions publiques consentent à payer cher les compétences de ces professionnels de la sécurité informatique.

Quelle est la différence entre un scanner de vulnérabilité et un pentest ?

Un scanner de vulnérabilité est un outil automatique qui permet de détecter les faiblesses les plus courantes d’un système informatique en scannant son réseau ou ses applications. Il identifie les vulnérabilités présentes, mais ne teste pas l'exploitation effective de ces vulnérabilités.

Le pentest est une évaluation approfondie, systématique et manuelle de chacune des vulnérabilités des SI. Elle passe par une méthode offensive qui reprend les techniques utilisées par les hackers afin de mesurer les impacts d’une faille de sécurité et ainsi éviter les intrusions ou le vol de données personnelles.

Quels sont les différents types de tests d’intrusion ?

Les tests d'intrusion peuvent s'effectuer sur différentes cibles, classées en plusieurs types. Les plus courants sont les suivants :

• les pentests de services réseau
• les pentests d'applications web
• les pentests d'ingénierie sociale
• les pentests d’applications mobiles
• les pentests d’objets connectés/ pentest IoT
• les pentests d’API

Vous pouvez acquérir les compétences nécessaires pour réaliser ces tests en suivant une formation en pentesting reconnue, comme celle proposée par Jedha. La demande des entreprises dans ce domaine ne cesse de croître, ce qui vous assure d’exercer un travail qui a du sens et vous permet de négocier une belle rémunération dès votre sortie de formation !

Quelle est la différence entre le pentest blackbox, greybox et whitebox ?

Un pentest peut être réalisé de trois manières différentes, en fonction du niveau d’accès aux informations dont dispose le hacker éthique pour réaliser le test :

• Le pentest en boîte noire (blackbox) met le pentester dans la position d’une personne externe à l’entreprise, sans accès aux informations sur le SI cible.
• Le pentest en boîte grise (greybox) donne au hacker éthique un niveau d’informations intermédiaire sur le système cible comme l’accès à certains comptes utilisateurs.
• Le pentest en boîte blanche (whitebox) permet au pentester de réaliser ses tests en disposant du niveau d’informations le plus élevé sur les systèmes et réseaux de l’entreprise. Il a notamment accès au code source dans son intégralité, ainsi qu’au compte administrateur des systèmes d’information.

La méthode retenue dépend de l’objectif fixé par le client. Celui-ci peut demander de combiner plusieurs approches afin de répondre le plus efficacement possible aux besoins avancés de certaines infrastructures SI.

Quelle est la méthodologie pour réaliser un pentest ?

Le pentest se déroule en suivant une méthodologie bien précise. Nous vous présentons ici les 8 étapes du pentest, de la reconnaissance au pentest report. Attention : si certaines étapes sont incontournables, d’autres ne sont pas toujours appliquées car elles concernent des situations spécifiques.

1- La reconnaissance de la cible

La première étape d'un pentesting consiste à collecter des données liées à la nature du test et de la cible définie. L'entreprise soumise au test peut elle-même fournir des informations au pentester ou choisir de le laisser explorer les sources externes accessibles à tous les utilisateurs comme les moteurs de recherche, réseaux sociaux et Domain Name Service (DNS).

2- La cartographie du système d’information

L'étape de la cartographie, appelée aussi mapping, permet d'effectuer un inventaire des actifs du système d'information cible. Au cours de cette phase, le pentester détermine les ports ouverts et identifie les services publiés afin de relever les éléments les plus critiques et exposés.

3- La recherche de vulnérabilités

La troisième étape d'un projet de pentesting consiste à analyser les faiblesses des systèmes, sites et applications SI à partir des données recueillies en amont. Pour ce faire, le professionnel chargé du pentesting sélectionne d’abord les meilleurs outils à utiliser (voir notre liste d’outils). Après avoir détecté d’éventuelles vulnérabilités, il effectue une analyse manuelle sur celles-ci afin d’en retirer le maximum d’informations.

4- L'exploitation

Dans cette phase centrale du pentest, le hacker éthique exploite les failles qu’il a détectées pour évaluer leur niveau de criticité. Il a pour cela recours à un code d’exploitation bien spécifique, appelé “exploit” qui lui permet de rentrer dans les SI de l’entreprise.

5- L'élévation de privilèges

Suite à l'exploitation des défaillances, le Pentester usurpe pour un temps les droits réservés à l'administrateur système (appelés privilèges), de façon à effectuer toutes sortes de tâches que pourraient réaliser de vrais hackers. Il doit alors savoir se montrer très prudent en passant par un backdoor et en prenant soin d’effacer toute trace de son passage une fois le travail terminé.

6- La propagation

L'étape de propagation permet de déterminer l’ampleur de la faille et de l’intrusion possible. Cette opération consiste à étendre la compromission aux autres appareils et serveurs du parc informatique de l’entreprise afin d’évaluer l’ampleur de la faille et de l’intrusion possible en cas de cyberattaques.

7- Le nettoyage

À la fin d’un pentest, le hacker éthique réalise un nettoyage complet du système informatique pour le rendre au client dans son état d'origine. Il efface les preuves de son action sur l’ensemble des systèmes, sites et applications de l’entreprise, en supprimant notamment les portes dérobées ou  les codes encoquillés (webshell). 

8- Le rapport de pentest

La dernière étape d'un pentesting est la rédaction puis la présentation d'un rapport de pentest détaillé au client. Le document écrit retrace la méthodologie utilisée, les failles découvertes classées par niveau de criticité et propose un plan d'action avec des recommandations sur les principales mesures correctives à implémenter, budgétées et entrées dans un planning prévisionnel.

En complément de ce pentest report très technique, le professionnel de la sécurité informatique peut dans certains cas être amené à délivrer une synthèse plus accessible des résultats de son action à destination des équipes dirigeantes et des partenaires de l’entreprise.

Comment se former au pentesting ?

Pour se former au pentesting, il n’est pas nécessaire d'être un génie en informatique ! La preuve, beaucoup de personnes qui se sont spécialisées en test d'intrusion se sont d’abord lancées de façon autodidacte. D’où l’idée de suivre une formation en Cybersécurité courte et intensive comme celle proposée par Jedha, plutôt qu’un long cursus à l’université.

Notre parcours Cybersécurité Fullstack est conçu pour vous permettre de devenir un expert hautement qualifié en Cybersécurité, prêt à mener des missions de pentesting ! En 450 heures de cours chez Jedha, vous abordez tous les grands concepts de la sécurité informatique : pentesting, analyse de menaces, infrastructures réseaux, réseaux sans-fil, post-exploitation, exploitations de failles et cyberattaques, etc. Notre pédagogie est centrée sur la pratique avec des exercices et des projets encadrés par nos professeurs, tous professionnels du secteur reprenant de véritables situations rencontrées en entreprise !

Vous ne pensez pas avoir le niveau pour suivre ce cursus ? Pas de panique, nous proposons également un parcours Cybersécurité Essentials de 75h pour les débutants en sécurité informatique. Vous aurez ensuite le niveau pour enchaîner sur notre formation de 450h. C’est la solution idéale pour se reconvertir dans la Cybersécurité !

Quels sont les outils pour réaliser un test d’intrusion ?

Voici une liste des dix principaux outils utilisés par les professionnels de la sécurité informatique afin de réaliser un test d’intrusion :

• Burp Suite et ses différents modules conçus pour le pentest des applications web
• Exegol, un ensemble d’outils offensifs de simulation sous Debian et Docker
• Kali Linux, un système complet sous Debian pour réaliser des tests de pénétration
• Metasploit, un framework Ruby pour automatiser certaines tâches de pentesting fastidieuses
• John the Ripper, Hashcat et Aircrack-ng, des outils de cassage de mot de passe
• Nmap, un scanner pour détecter les ports ouverts et les programmes de type daemon
• Wireshark et Ettercap, deux logiciels pour surveiller les paquets de données et intercepter le trafic sur un segment réseau
• Nuclei et Nessus, deux scanners de vulnérabilités des réseaux

• SQLmap qui permet de détecter et d’exploiter les injections SQL

• Hydra, un cracker pour réaliser des attaques de force brute

La plupart de ces outils sont très pointus, leur maniement nécessite donc des compétences spécifiques en informatique, systèmes et réseaux que vous pouvez acquérir en suivant notre formation avancée en Cybersécurité.

Pourquoi faire un pentest ?

Réaliser un pentest est une pratique qui peut paraître risquée car elle suppose de tester la sécurité et la fiabilité des systèmes de réseaux et de données d’une entreprise. Voici quatres raisons principales qui amènent les organisations à faire un pentest malgré ces risques. 

Pour corriger les failles de sécurité

Les pirates informatiques ne cessent de perfectionner leurs techniques d'attaques, ce qui contraint les spécialistes de ce secteur à réaliser une veille quasi quotidienne. Dans ce contexte, les entreprises sont invitées à réaliser des pentests de façon régulière, afin de détecter les éventuelles failles de sécurité et mettre à jour la protection de leurs SI.

Pour éviter les pertes financières

Si un test de pénétration peut représenter un certain coût pour l’entreprise, celui-ci est sans commune mesure comparé aux pertes financières que provoque un ransomware. Selon IBM, une cyberattaque coûte en moyenne 1,19 million d'euros en direct à l'entreprise victime, à quoi il faut rajouter plus de 13 millions pour corriger les défaillances informatiques. 

Les pentests sont donc à considérer comme une forme d’investissement afin de prévenir et de sécuriser à moindre frais les systèmes d’information d’une entreprise.

Pour respecter les normes

La loi sur le RGPD (Règlement Général sur la Protection des Données) est en vigueur depuis le 25 mai 2018. Elle impose aux entreprises de garantir la sécurité de leurs systèmes d’information afin de réduire les risques de fuite de données personnelles. Si une entreprise est victime d'un hacking, elle est dans l’obligation d’informer les clients, partenaires ou collaborateurs concernés. Et cela risque d’avoir des conséquences importantes en termes de réputation et de chiffre d’affaires.

Conclusion

Vous savez désormais tout du pentesting et de la façon dont les professionnels de la sécurité informatique réalisent un pentest. Si vous souhaitez vous diriger vers le métier de Pentester ou travailler dans la Cybersécurité, il est essentiel de choisir une formation certifiante et reconnue, comme celle que nous proposons chez Jedha.

Pour connaître tous les détails de nos formations en Cybersécurité, vous pouvez télécharger notre syllabus. Et si vous avez des questions à poser à nos équipes, n’hésitez pas à vous inscrire gratuitement à nos Portes Ouvertes en ligne, elles ont lieu tous les mercredi à 19h.

‍