9 types de tests d'intrusion différents [utilisés en 2021]

Dans le monde de l'entreprise d'aujourd'hui, la sécurité est devenue le problème le plus courant. Chaque jour, nous apprenons comment des attaquants ont piraté des systèmes informatiques et volé toutes les informations cruciales.

En 2019, 1 473 violations de données ont été signalées aux États-Unis, avec plus de 164 millions d'enregistrements sensibles exposés. Au premier semestre 2020, le nombre de violations de données s'élevait à 540. — Rapport Statista

Pour détecter les failles de sécurité et les vulnérabilités, de nombreuses grandes entreprises effectuent une cyberattaque simulée autorisée sur leur propre système. C'est ce que nous appelons les tests d'intrusion (Pen Test en abrégé). Fondamentalement, l'objectif est d'identifier les vulnérabilités et les faiblesses de sécurité avant le pirate informatique et de les corriger dès que possible.

Plus précisément, les tests d'intrusion consistent à simuler des scénarios d'attaque du monde réel pour trouver et exploiter les failles de sécurité (de manière sûre) qui pourraient finalement conduire au vol d'informations, à des identifiants compromis ou à d'autres résultats commerciaux préjudiciables.

Il peut être effectué en interne via un outil de test d'intrusion ou sous-traité à un fournisseur de tests d'intrusion. Le processus commence généralement par un professionnel de la sécurité énumérant le réseau cible pour détecter les appareils ou les comptes vulnérables. Cela signifie analyser tous les appareils du réseau à la recherche de ports ouverts sur lesquels des services s'exécutent.

Le niveau de l'intrusion dépend du type d'opération que le testeur de sécurité souhaite explorer sur le système cible. Par conséquent, le testeur doit avoir une bonne connaissance du type de pen test le plus pertinent.

Les tests d'intrusion peuvent être classés en fonction de la manière dont ils sont effectués ainsi que des actifs et des composants ciblés. Dans cet article de présentation, nous avons expliqué différents types de tests d'intrusion conçus pour être intenses et invasifs.

Test d'intrusion basé sur les méthodes utilisées

1. Test de la boîte noire

• Les cas de test peuvent être conçus immédiatement
• Peut détecter certains types de défauts

Dans les tests de pénétration de la boîte noire, le testeur n'a pas accès à l'application du client, à la configuration du réseau ou à tout type d'information interne. Il effectue toutes les reconnaissances pour extraire les informations requises.

Ce type de test détermine les faiblesses d'un système qui sont exploitables depuis l'extérieur du réseau. La découverte de ces faiblesses repose sur une inspection dynamique des programmes et systèmes en cours d'exécution au sein du réseau cible.

Le testeur doit être familiarisé avec les logiciels d'analyse automatisés et les différentes techniques de tests d'intrusion manuels. Puisqu'il n'y a aucune connaissance préalable de la configuration du système ou du code source de l'application, le testeur de pénétration de la boîte noire doit être capable de construire sa propre carte du réseau cible sur la base d'observations personnelles.

Les connaissances limitées empêchent le testeur de trouver toutes les vulnérabilités du système. C'est l'inconvénient majeur de ce type de test. Si les testeurs ne peuvent pas franchir tous les périmètres, les vulnérabilités internes restent inconnues.

Cependant, il peut découvrir certains types de failles, telles que des erreurs de configuration de serveur et des erreurs de validation d'entrée/sortie. Pour réussir (détecter et corriger efficacement davantage de vulnérabilités), les méthodologies de test de type boîte noire doivent être combinées avec d'autres outils de test.

Il existe de nombreux outils disponibles sur le marché pour effectuer des tests de pénétration de la boîte noire. Wapiti, par exemple, analyse les applications Web pour les responsabilités potentielles en injectant des données temporaires.

2. Test de boîte blanche

• Plus complet
• Permet l'optimisation du code et la détection des problèmes de sécurité cachés

Comme son nom l'indique, les tests de pénétration de la boîte blanche sont à l'opposé des tests de la boîte noire. Le testeur a un accès complet à la documentation de l'architecture, au code source et à d'autres informations système.

Les testeurs passent au crible un grand volume de données disponibles pour détecter les points de faiblesse potentiels. Ils peuvent utiliser à la fois des analyseurs de code statiques et dynamiques et des débogueurs pour ce type de test.

Étant donné que les testeurs ont une connaissance complète du système, il faut plus de temps pour décider quels modules doivent être testés en premier et quel logiciel spécifique doit être utilisé pour effectuer le test.

JUnit, PyUnit, Selenium font partie des outils de test open source open source les plus populaires. Selenium, par exemple, est utilisé pour valider des applications Web sur divers navigateurs et plates-formes.

3. Test de la boîte grise 

• Identifie les vulnérabilités les plus importantes avec moins de coûts et d'efforts
• Les tests sont effectués du point de vue des utilisateurs plutôt que du point de vue du concepteur

Il s'agit de la combinaison de tests de pénétration en boîte noire et en boîte blanche. Le stylo testeur de la boîte grise a une certaine connaissance des éléments internes du système, tels que la base de données et les documents de conception. Avec ces connaissances limitées, il/elle peut créer de meilleures données de test et cas de test tout en préparant un plan de test.

Ce type de test fournit une évaluation plus efficace et ciblée de la sécurité du système par rapport à l'évaluation de la boîte noire. Il peut identifier les défauts dus à une mauvaise utilisation des applications ou à une mauvaise structure du code. Plus précisément, il découvre les erreurs spécifiques au contexte en se concentrant sur toutes les couches de systèmes complexes.

Les tests de la boîte grise sont plus adaptés aux tests fonctionnels, aux applications Web, aux services Web, à l'évaluation de la sécurité et à l'interface graphique. Burp Suite est l'un des outils de test de la boîte grise les plus populaires qui exploite les vulnérabilités des applications en attaquant les points non sécurisés provisoires.

Différentes entre ces trois techniques de test

Test de pénétration de la boîte noire	Test de pénétration de la boîte grise	Test de pénétration de la boîte blanche
Aucune connaissance du fonctionnement interne du système n'est requise	Une connaissance partielle du fonctionnement interne du système est requise	Une connaissance complète du fonctionnement interne du système est requise
Très difficile à découvrir les erreurs cachées	Difficile de découvrir les erreurs cachées	Détecter les erreurs cachées en toute simplicité
Également appelé test en boîte fermée ou test basé sur les données	Également connu sous le nom de test translucide	Également connu sous le nom de test de boîte transparente, de test structurel ou de test basé sur le code
Moins de temps	Prise de temps en partie	Le plus complet et le plus long
Meilleur pour trouver les erreurs de validation d'entrée/sortie	Mieux adapté pour tester les domaines de données et la conception du système	Mieux adapté pour tester les algorithmes, la structure du code et les limites internes
Les tests sont effectués par les utilisateurs finaux, les développeurs et les testeurs	Les tests sont effectués par des testeurs et développeurs indépendants	Les tests sont effectués par des testeurs et des développeurs

Test d'intrusion basé sur des composants ciblés

1. Test des services réseau

• Empêche les violations de réseau et de données
• Assure la sécurité du réseau et du système

Le processus de test de pénétration du réseau consiste à découvrir les vulnérabilités de sécurité dans les applications et les systèmes en utilisant différentes méthodes malveillantes pour examiner la sécurité du réseau.

En règle générale, le testeur identifie les réseaux, hôtes, systèmes et périphériques exploitables (tels que les commutateurs et les routeurs) pour découvrir les faiblesses. Étant donné qu'un réseau possède à la fois des points d'accès externes et internes, il est obligatoire d'effectuer des tests à distance depuis le monde extérieur et localement sur le site client.

Cela aide les testeurs à comprendre le niveau de risque auquel l'organisation est confrontée et comment traiter et corriger les failles de sécurité. Selon le risque, ils peuvent cibler différentes zones du réseau dans leurs tests. Par exemple, ils peuvent effectuer :

• Test d'analyse avec état
• Test de la configuration du pare-feu
• Test de contournement du pare-feu
• Attaques DNS

Le protocole le plus couramment étudié dans ces tests comprend :

• Protocole de transfert de courrier simple (SMTP)
• Protocole de transfert de fichiers (FTP)
• Secure Shell (SSH)
• MySQL et SQL Server

Selon la taille et la complexité du système, un test de pénétration du réseau peut prendre entre une et quatre semaines. Les testeurs ne peuvent proposer une estimation détaillée qu'après avoir défini la portée du projet.

2. Test de plume d'application Web

Étapes pour effectuer un test de stylet d'application Web

• Identifie la vulnérabilité à la fois dans la conception et la configuration
  Localise les intrus et les bloque

Étant donné que de nombreuses applications Web contiennent des informations sensibles, il est nécessaire de les sécuriser à tout moment. Une façon d'y parvenir est d'inclure des tests de pénétration des applications Web dans le cadre du cycle de vie du développement logiciel (SDLC).

Les tests d'intrusion permettent de déterminer facilement les vulnérabilités de l'ensemble des applications Web et de leurs composants, y compris sa base de données, son réseau principal et son code source. Cela aide les développeurs à identifier et à hiérarchiser les faiblesses et les erreurs et à trouver des moyens de les atténuer.

Ce type de test implique la collecte de données sur l'application Web cible, la cartographie du réseau hôte et l'examen de tous les points possibles d'attaques par injection ou falsification. La plupart des raisons d'effectuer des tests d'intrusion d'applications Web sont :

• Détecter les vulnérabilités inconnues
• Vérifier les composants exposés publiquement, tels que les routeurs et les pare-feu
• Trouver la route la plus vulnérable pour une éventuelle attaque
• Recherchez les failles qui pourraient entraîner le vol d'informations
• Vérifier l'efficacité des politiques de sécurité existantes

De nombreux outils sont disponibles sur le marché pour effectuer des tests de pénétration d'applications Web (manuels et automatisés). Vega, Veracode et Zap sont parmi les plus courants pour effectuer des tests rapides.

3. Test de stylet sans fil

• Détermine la posture de sécurité réaliste des réseaux sans fil
• Résout les vulnérabilités et les politiques/procédures de sécurité

Les tests d'intrusion sans fil consistent à détecter et à analyser les connexions entre tous les appareils connectés au WiFi de l'entreprise. Cela inclut les ordinateurs portables, les smartphones, les tablettes, les imprimantes et les autres appareils de l'Internet des objets (IoT).

Divers protocoles sans fil et points d'accès sans fil sont testés pour découvrir les failles de sécurité. Habituellement, ces tests sont effectués sur le site du client, car le testeur doit se trouver dans la plage des signaux sans fil pour accéder à l'appareil.

Dans la plupart des cas, des vulnérabilités se trouvent dans les points d'accès wifi en raison du manque de filtrage MAC et de contrôles d'accès réseau insuffisants. Pour remédier à ces problèmes avant qu'ils ne surviennent réellement, il est essentiel de tester l'efficacité de la posture de sécurité et d'exposer les faiblesses involontaires.

Il est également important de garder à l'esprit que le WiFi n'est pas la seule technologie sans fil que les attaquants peuvent exploiter. Il existe plusieurs appareils Bluetooth, des appareils Bluetooth Low Energy et d'autres technologies moins populaires, telles que Z-wave et DECT (téléphone sans fil), que l'on trouve dans le public.

4. Test d'intrusion côté client

• Détecte les erreurs de configuration de sécurité dans le logiciel côté client
• Permet un contrôle approprié du trafic réseau entrant et sortant

Il s'agit d'un Pen Test interne où les testeurs exploitent les vulnérabilités des programmes d'application côté client tels que les navigateurs Web, Adobe Acrobat, les clients de messagerie, Macromedia Flash, etc.

Bien qu'il n'y ait pas de règle pour effectuer de tels tests à des intervalles spécifiques, les entreprises doivent effectuer des tests d'intrusion lorsqu'une nouvelle infrastructure informatique ou des applications côté client sont ajoutées ou lorsque l'infrastructure existante est modifiée.

La plupart des vulnérabilités côté client sont dues au logiciel non corrigé installé sur les ordinateurs portables ou de bureau. Certains attaquants interceptent même le processus de mise à jour, envoyant un code malveillant avec la mise à jour d'origine.

Les périphériques USB sont également infectés par des fichiers malveillants ou du code exécutable. Ces fichiers sont exécutés automatiquement dès que la victime connecte la clé USB à sa machine. Les scripts intersites, le détournement de formulaire, le détournement de clic, l'injection HTML et la redirection ouverte sont quelques-unes des attaques de sécurité côté client les plus courantes.

C'est pourquoi il est important de tester la sensibilité des employés et la capacité des réseaux à reconnaître et à répondre aux attaques côté client.

5. Test de stylet externe

• Une évaluation de la sécurité des systèmes de périmètre d'une entreprise
• Comprend à la fois les évaluations de la couche application et de la couche réseau

Les tests de pénétration externes testent généralement du point de vue de l'attaquant sans accès préalable au système ou au réseau cible. Ceci est différent des tests d'intrusion internes, dans lesquels l'attaquant a déjà pris pied sur la machine compromise.

Dans les tests d'intrusion externes, le testeur essaie d'accéder au réseau interne en tirant parti des vulnérabilités trouvées sur les actifs externes. Il/elle effectue une reconnaissance sur les actifs concernés, en collectant des données sur tous les actifs concernés.

Ces données peuvent inclure des ports ouverts, des vulnérabilités ou des informations sur les employés pour les attaques par mot de passe. Une fois le périmètre franchi, l'objectif du test d'intrusion externe est atteint et le testeur procède au test d'intrusion interne.

Lire : 30 outils de suivi des bogues utiles pour les développeurs 

6. Ingénierie sociale

• Inciter des employés peu méfiants à compromettre la sécurité de l'entreprise
• Exploiter la psychologie humaine pour obtenir des données confidentielles

Le terme ingénierie sociale est utilisé pour un large éventail d'activités malveillantes accomplies via des interactions humaines. Puisqu'elle repose sur l'erreur humaine (au lieu de la faiblesse des applications ou des réseaux), elle est moins prévisible et plus difficile à détecter que les intrusions basées sur des logiciels malveillants.

Ces types de tests consistent à tenter d'obtenir des données confidentielles en incitant les employés de l'entreprise à révéler des informations sensibles. Cela pourrait être réalisé soit par des tests à distance, soit par des tests physiques.

Lire : 15 meilleurs outils de génération de données de test

Les tests à distance consistent à envoyer des e-mails de phishing aux employés ou à bombarder leurs appareils de fausses alarmes ou de menaces fictives. En revanche, les tests physiques incluent le talonnage, l'usurpation d'identité, la plongée dans des bennes à ordures, les menaces physiques, etc.