Des tests d'intrusion menés comme une vraie attaque, votre signature en plus
Nous simulons de vrais vecteurs d'attaque contre vos applications, vos réseaux et vos équipes, dans un périmètre et selon des règles que vous validez par écrit. Puis nous vous montrons ce qui a fonctionné, comment, et quoi corriger en premier.
Présentation
Notre façon de tester
Un test d'intrusion est une attaque autorisée contre vos propres systèmes. Nous cherchons les faiblesses, tentons de les exploiter et nous arrêtons là où les règles d'engagement le prévoient. Les scanners proposent des pistes ; ce sont des personnes qui décident lesquelles ouvrent vraiment une porte.
Ce que nous savons au départ change le test. En boîte noire, nous partons uniquement de ce qui est public, comme un attaquant extérieur. En boîte grise, nous disposons des accès d'un utilisateur ordinaire ou privilégié, ce qui permet un effort plus ciblé. En boîte blanche, aussi appelée test en boîte claire ou test logique, nous voyons tout : architecture, configuration et code source. C'est le plus long, le plus complet, et il convient particulièrement aux applications.
Nous pouvons suivre un référentiel de test reconnu, par exemple OSSTMM, PTES, OWASP, ISSAF, PCI PTG, NIST SP 800-115 ou CICA ITAC, ou un référentiel propre que vous définissez. Le test peut être adapté aux attentes du RGPD, de HIPAA ou de HISO.
À qui s'adresse ce service
Les organisations qui veulent savoir comment leurs systèmes résistent avant qu'une personne moins courtoise ne le découvre, et celles dont les clients, auditeurs, assureurs ou référentiels comme l'ISO/IEC 27001, PCI DSS ou SOC 2 attendent des tests indépendants réguliers.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Tests en boîte noire
Aucune connaissance préalable. Nous partons de vos points d'accès publics et progressons vers l'intérieur, comme doit le faire un attaquant extérieur.
Tests en boîte grise
Nous testons avec les connaissances et les droits d'un utilisateur standard ou privilégié. Plus rapide et plus ciblé que la boîte noire, sans le seul regard de l'extérieur.
Tests en boîte blanche
Accès complet à la documentation, à la configuration et au code source, pour l'examen le plus approfondi des faiblesses internes et externes.
Méthodologie au choix
Un référentiel reconnu comme OSSTMM, PTES, OWASP ou NIST SP 800-115, ou un référentiel propre qui répond aux attentes de votre auditeur ou de votre client.
Tests spécialisés
Applications web et boutiques en ligne, API, applications mobiles, réseaux, cloud et facteur humain. Ils peuvent être combinés dans une même mission.
Contre-test
Une fois les vulnérabilités corrigées, nous les testons à nouveau et consignons celles qui sont closes.
Déroulement de la mission
Lancement et cadrage
Nous convenons des cibles, du type de boîte, de la méthodologie et de ce qui est exclu. Un accord de confidentialité peut être signé avant la première réunion.
Proposition et autorisation
Une proposition commerciale, puis une autorisation écrite d'une personne habilitée et des règles d'engagement : fenêtres de test, contacts et conduite à tenir en cas de découverte critique.
Tests
Reconnaissance, recherche de vulnérabilités et exploitation maîtrisée dans le cadre convenu. Ce qui ne peut pas attendre le rapport vous est signalé immédiatement.
Remise des résultats
Des recommandations, un rapport métier avec appréciation des risques et un rapport technique avec preuves de concept, présentés aux personnes qui vont agir.
Contre-test et clôture
Nous vérifions vos correctifs et clôturons le projet par un retour d'expérience. Sur demande, un certificat de mission que chacun peut vérifier sur notre site.
Ce que vous recevez
- Périmètre et règles d'engagement convenus
- Rapport métier avec appréciation des risques pour la direction
- Rapport technique avec preuves de concept et conseils de remédiation
- Recommandations hiérarchisées
- Résultats du contre-test pour les vulnérabilités corrigées
- Certificat de mission réussie en option, vérifiable sur /verify
Questions
Quel type de boîte choisir ?
La boîte noire montre ce que peut faire un acteur extérieur. La boîte grise en fait davantage dans le même temps et couvre ce qu'atteint un utilisateur connecté. La boîte blanche trouve le plus. En cas de doute, dites-nous ce qui vous inquiète et nous en recommanderons un dans la proposition.
Les tests vont-ils perturber la production ?
Fenêtres de test, systèmes et techniques exclus sont fixés dans les règles d'engagement, et un contact de votre côté reste joignable pendant le test. Un risque résiduel existe toujours avec des tests actifs ; c'est pourquoi nous en parlons avant, pas après.
Le certificat est-il une certification de conformité ?
Non. Il atteste que la mission a eu lieu et a été menée à terme, et chacun peut le vérifier sur notre site. Il ne vous certifie au regard d'aucune norme ni d'aucune loi.
Refaites-vous un test après correction ?
Oui. Un contre-test des vulnérabilités signalées fait partie de la mission que nous proposons, et son résultat est consigné.
Services associés
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
- Sécurité managéeGestion des vulnérabilitésRevues de vulnérabilités récurrentes par Black Fox Security : scans, tri, priorisation selon l'exploitabilité et l'exposition, suivi des correctifs.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
Dites-nous ce que vous voulez faire tester
Indiquez-nous les cibles et ce qui vous inquiète. Nous revenons vers vous avec un périmètre, un type de boîte et une proposition.