9 méthodes éprouvées de tests d'intrusion pour 2021 : protégez votre entreprise

Dans le monde de l'entreprise actuel, la sécurité est devenue la préoccupation majeure. Chaque jour, nous entendons parler d'attaquants qui piratent des systèmes informatiques et dérobent des informations cruciales.

En 2019, on a recensé 1 473 violations de données signalées aux États-Unis, exposant plus de 164 millions d'enregistrements sensibles. Au premier semestre 2020, le nombre de violations s'élevait à 540. — Rapport Statista

Pour détecter les failles et vulnérabilités de sécurité, de nombreuses grandes entreprises réalisent une cyberattaque simulée et autorisée sur leurs propres systèmes. C'est ce qu'on appelle un test d'intrusion (ou « pentest »). L'objectif est d'identifier les vulnérabilités et faiblesses avant les pirates informatiques et de les corriger au plus vite.

Plus précisément, les tests d'intrusion consistent à simuler des scénarios d'attaque réels pour découvrir et exploiter (de manière contrôlée) les failles de sécurité qui pourraient entraîner un vol d'informations, une compromission d'identifiants ou d'autres conséquences néfastes pour l'entreprise.

Ils peuvent être réalisés en interne à l'aide d'outils de pentest ou confiés à un prestataire spécialisé. Le processus commence généralement par l'énumération du réseau cible par un expert en sécurité afin de détecter les appareils ou comptes vulnérables. Cela implique de scanner chaque périphérique du réseau à la recherche de ports ouverts sur lesquels des services sont en cours d'exécution.

Le niveau d'intrusion dépend du type d'opération que le testeur souhaite explorer sur le système cible. Il doit donc bien connaître les types de tests d'intrusion les plus pertinents.

Les tests d'intrusion peuvent être classés selon la méthode utilisée ainsi que les actifs et composants ciblés. Dans cet article de synthèse, nous expliquons les différents types de tests d'intrusion conçus pour être intensifs et invasifs.

Tests d'intrusion selon la méthode utilisée

1. Test en boîte noire (Black Box)

• Les cas de test peuvent être conçus immédiatement
• Permet de détecter certains types de failles

Dans un test d'intrusion en boîte noire, le testeur n'a accès ni à l'application du client, ni à la configuration du réseau, ni à aucune information interne. Il effectue toute la reconnaissance nécessaire pour extraire les informations requises.

Ce type de test détermine les faiblesses d'un système exploitables depuis l'extérieur du réseau. La découverte de ces faiblesses repose sur l'inspection dynamique des programmes et systèmes en cours d'exécution au sein du réseau cible.

Le testeur doit être familier avec les logiciels de scan automatisé et les différentes techniques de test d'intrusion manuel. Faute de connaissance préalable de la configuration système ou du code source de l'application, le testeur en boîte noire doit être capable de construire sa propre cartographie du réseau cible basée sur ses observations personnelles.

Cette connaissance limitée l'empêche de découvrir toutes les vulnérabilités du système. C'est le principal inconvénient de cette approche. Si les testeurs ne parviennent pas à franchir tous les périmètres, les vulnérabilités internes restent inconnues.

Toutefois, il peut révéler certains types de failles, comme les erreurs de configuration des serveurs et les erreurs de validation des entrées/sorties. Pour être efficace (détecter et corriger davantage de vulnérabilités), les méthodologies de test en boîte noire devraient être combinées avec d'autres outils de test.

De nombreux outils sont disponibles sur le marché pour réaliser des tests d'intrusion en boîte noire. Wapiti, par exemple, analyse les applications web à la recherche de failles potentielles en injectant des données temporaires.

2. Test en boîte blanche (White Box)

• Plus complet
• Permet l'optimisation du code et la détection de problèmes de sécurité cachés

Comme son nom l'indique, le test d'intrusion en boîte blanche est l'opposé du test en boîte noire. Le testeur dispose d'un accès complet à la documentation d'architecture, au code source et aux autres informations du système.

Les testeurs passent au crible un grand volume de données disponibles pour détecter les points de faiblesse potentiels. Ils peuvent utiliser à la fois des analyseurs de code statique et dynamique ainsi que des débogueurs pour ce type de test.

Puisque les testeurs ont une connaissance complète du système, il faut plus de temps pour décider quels modules tester en premier et quels logiciels spécifiques utiliser pour mener le test.

JUnit, PyUnit, Selenium figurent parmi les outils de test en boîte blanche open source les plus populaires. Selenium, par exemple, est utilisé pour valider les applications web sur divers navigateurs et plateformes.

3. Test en boîte grise (Gray Box)

• Identifie des vulnérabilités plus significatives avec moins de coûts et d'efforts
• Les tests sont effectués du point de vue de l'utilisateur plutôt que du concepteur

C'est la combinaison des tests en boîte noire et en boîte blanche. Le testeur en boîte grise possède une certaine connaissance des composants internes du système, tels que la base de données et les documents de conception. Avec cette connaissance partielle, il peut concevoir de meilleures données de test et cas de test lors de l'élaboration du plan de test.

Ce type de test offre une évaluation plus ciblée et efficace de la sécurité du système par rapport à une évaluation en boîte noire. Il peut identifier les défauts dus à une utilisation inappropriée des applications ou à une structure de code inadéquate. Plus spécifiquement, il met en évidence les erreurs contextuelles en se concentrant sur toutes les couches des systèmes complexes.

Les tests en boîte grise sont particulièrement adaptés aux tests fonctionnels, aux applications web, aux services web, à l'évaluation de sécurité et aux interfaces graphiques. Burp Suite est l'un des outils de test en boîte grise les plus populaires, qui exploite les vulnérabilités des applications en attaquant les points potentiellement instables.

Différences entre ces trois techniques de test

Test en boîte noire	Test en boîte grise	Test en boîte blanche
Aucune connaissance du fonctionnement interne du système n'est requise	Une connaissance partielle du fonctionnement interne du système est requise	Une connaissance complète du fonctionnement interne du système est requise
Très difficile de découvrir les erreurs cachées	Difficile de découvrir les erreurs cachées	Simple de découvrir les erreurs cachées
Aussi appelé test en boîte fermée ou test piloté par les données	Aussi appelé test translucide	Aussi appelé test en boîte claire, test structurel ou test basé sur le code
Le moins chronophage	Partiellement chronophage	Le plus complet et le plus chronophage
Idéal pour trouver les erreurs de validation entrée/sortie	Idéal pour tester les domaines de données et la conception système	Idéal pour tester les algorithmes, la structure du code et les limites internes
Tests menés par les utilisateurs finaux, développeurs et testeurs	Tests effectués par des testeurs indépendants et développeurs	Tests effectués par des testeurs et développeurs

Tests d'intrusion selon les composants ciblés

1. Test des services réseau

• Prévient les violations de réseau et de données
• Assure la sécurité du réseau et des systèmes

Le processus de test d'intrusion réseau consiste à découvrir les vulnérabilités de sécurité dans les applications et systèmes en utilisant différentes méthodes malveillantes pour examiner la sécurité du réseau.

Généralement, le testeur identifie les réseaux, hôtes, systèmes et appareils exploitables (tels que commutateurs et routeurs) pour mettre en évidence les faiblesses. Puisqu'un réseau possède à la fois des points d'accès externes et internes, il est obligatoire d'effectuer des tests à distance depuis l'extérieur et localement sur le site du client.

Cela aide les testeurs à comprendre le niveau de risque auquel l'organisation est confrontée et comment corriger les failles de sécurité. Selon le risque, ils peuvent cibler différentes zones du réseau dans leurs tests. Par exemple, ils peuvent réaliser :

• Test d'analyse avec état (stateful analysis)
• Test de configuration de pare-feu
• Test de contournement de pare-feu
• Attaques DNS

Les protocoles les plus couramment examinés dans ces tests incluent :

• Simple Mail Transfer Protocol (SMTP)
• File Transfer Protocol (FTP)
• Secure Shell (SSH)
• MySQL et SQL Server

Selon la taille et la complexité du système, un test d'intrusion réseau peut prendre entre une et quatre semaines. Les testeurs ne peuvent fournir une estimation détaillée qu'après avoir défini le périmètre du projet.

2. Test d'intrusion d'application web

Étapes pour réaliser un test d'intrusion d'application web

• Identifie les vulnérabilités tant dans la conception que dans la configuration
  Localise les intrus et les bloque

De nombreuses applications web stockant des informations sensibles, il est indispensable de les maintenir sécurisées en permanence. Une façon d'y parvenir est d'intégrer les tests d'intrusion d'applications web dans le cycle de vie de développement logiciel (SDLC).

Les tests d'intrusion permettent de déterminer facilement les vulnérabilités de l'ensemble de l'application web et de ses composants, y compris sa base de données, son réseau backend et son code source. Cela aide les développeurs à identifier et prioriser les faiblesses et erreurs, et à trouver des moyens de les atténuer.

Ce type de test implique la collecte de données sur l'application web cible, la cartographie du réseau hôte et l'examen de tous les points d'injection ou d'altération possibles. Les principales raisons de réaliser un test d'intrusion d'application web sont :

• Détecter les vulnérabilités inconnues
• Vérifier les composants exposés publiquement, tels que les routeurs et pare-feu
• Trouver la voie la plus vulnérable pour une attaque possible
• Rechercher les failles pouvant entraîner un vol d'informations
• Vérifier l'efficacité des politiques de sécurité existantes

De nombreux outils sont disponibles sur le marché pour réaliser des tests d'intrusion d'applications web (manuels et automatisés). Vega, Veracode et Zap sont parmi les plus courants pour des tests rapides.

3. Test d'intrusion sans fil

• Détermine la posture de sécurité réaliste des réseaux sans fil
• Traite les vulnérabilités et les politiques/procédures de sécurité

Le test d'intrusion sans fil consiste à détecter et analyser les connexions entre tous les appareils connectés au WiFi de l'entreprise. Cela inclut les ordinateurs portables, smartphones, tablettes, imprimantes et autres objets connectés (IoT).

Divers protocoles sans fil et points d'accès sont testés pour découvrir les failles de sécurité. Habituellement, ces tests sont réalisés sur le site du client car le testeur doit être à portée des signaux sans fil pour accéder aux appareils.

Dans la plupart des cas, les vulnérabilités se trouvent au niveau des points d'accès WiFi en raison de l'absence de filtrage MAC et de contrôles d'accès réseau insuffisants. Pour corriger ces problèmes avant qu'ils ne soient exploités, il est crucial de tester l'efficacité de la posture de sécurité et d'exposer les faiblesses involontaires.

Il est également important de garder à l'esprit que le WiFi n'est pas la seule technologie sans fil que les attaquants peuvent exploiter. On trouve en public plusieurs appareils Bluetooth, Bluetooth Low Energy et autres technologies moins populaires, comme Z-wave et DECT (téléphone sans fil).

4. Test d'intrusion côté client

• Détecte les erreurs de configuration de sécurité dans les logiciels côté client
• Permet un contrôle approprié du trafic réseau entrant et sortant

Il s'agit d'un test d'intrusion interne où les testeurs exploitent les vulnérabilités dans les programmes d'application côté client tels que les navigateurs web, Adobe Acrobat, clients de messagerie, Macromedia Flash, etc.

Bien qu'il n'y ait pas de règle pour effectuer de tels tests à intervalles spécifiques, les entreprises devraient réaliser des tests d'intrusion lorsque de nouvelles infrastructures informatiques ou applications côté client sont ajoutées ou lorsque l'infrastructure existante est modifiée.

La plupart des vulnérabilités côté client surviennent en raison de logiciels non mis à jour installés sur les ordinateurs portables ou de bureau. Certains attaquants interceptent même le processus de mise à jour, en envoyant du code malveillant avec la mise à jour d'origine.

Les périphériques USB sont également infectés par des fichiers malveillants ou du code exécutable. Ces fichiers s'exécutent automatiquement dès que la victime branche la clé USB sur sa machine. Le scripting intersite (XSS), le détournement de formulaire, le clickjacking, l'injection HTML et la redirection ouverte figurent parmi les attaques de sécurité côté client les plus courantes.

C'est pourquoi il est important de tester la susceptibilité des employés et la capacité des réseaux à reconnaître et répondre aux attaques côté client.

5. Test d'intrusion externe

• Évaluation de la sécurité des systèmes périphériques d'une entreprise
• Inclut des évaluations au niveau de la couche application et de la couche réseau

Le test d'intrusion externe teste généralement depuis la perspective de l'attaquant, sans accès préalable au système ou réseau cible. Cela diffère du test d'intrusion interne, où l'attaquant a déjà un point d'appui sur une machine compromise.

Dans un test d'intrusion externe, le testeur tente d'accéder au réseau interne en exploitant les vulnérabilités trouvées sur les actifs externes. Il effectue une reconnaissance sur les actifs dans le périmètre, collectant des données sur tous les actifs concernés.

Ces données peuvent inclure des ports ouverts, des vulnérabilités ou des informations sur les employés pour des attaques par mot de passe. Une fois le périmètre franchi, l'objectif du test d'intrusion externe est atteint, et le testeur passe au test d'intrusion interne.

À lire : 30 outils utiles de suivi de bogues pour développeurs

6. Ingénierie sociale

• Manipule des employés peu méfiants pour compromettre la sécurité de l'entreprise
• Exploite la psychologie humaine pour obtenir des données confidentielles

Le terme « ingénierie sociale » désigne un large éventail d'activités malveillantes réalisées via des interactions humaines. Comme elle repose sur l'erreur humaine (plutôt que sur une faiblesse des applications ou du réseau), elle est moins prévisible et plus difficile à détecter que les intrusions basées sur des logiciels malveillants.

Ces tests consistent à tenter d'obtenir des données confidentielles en trompant les employés de l'entreprise pour qu'ils révèlent des informations sensibles. Cela peut être réalisé soit par des tests à distance, soit par des tests physiques.

À lire : 15 meilleurs outils de génération de données de test

Les tests à distance impliquent l'envoi d'e-mails de phishing aux employés ou le bombardement de leurs appareils avec de fausses alertes ou menaces fictives. En revanche, les tests physiques incluent le tailgating (suivi d'un employé autorisé), l'usurpation d'identité, la fouille de poubelles, les menaces physiques, etc.