Audit sécurité et test d'intrusion

Le pentest en mode Black Box (boite noire) ou test d’intrusion Black Box est le mode de test le plus réaliste puisque le pentester ne possède aucune information lui permettant de pénétrer le système cible.

Ainsi, cette méthode de pentest permet de mettre en exergue les failles que pourrait exploiter un véritable pirate dans son cheminement qui mènera à la compromission du système d’information. Ce mode de test implique une durée d’exécution plus longue parce qu’aucune information n’est rendue volontairement disponible au début du test. L’équipe chargée de la cybersécurité dans l’entreprise ne sera pas au courant de la mise en place d’un test d’intrusion. Le pentester réalise son test d’intrusion de l’extérieur, sans disposer a priori d’informations sur l’entreprise cible. Si cette méthode est très efficace puisqu’elle permet d’effectuer un test d’intrusion en conditions réelles, elle peut en revanche prendre beaucoup de temps.

Durant un pentest Grey Box (boite grise), l’auditeur commence ses tests avec un certain nombre d’informations qui lui permettront de gagner du temps. L’auditeur pourra pousser les tests plus loin que s’il était en mode Black Box, tout en restant proche du scénario que pourrait suivre un hacker malveillant.

Le pentest Greybox se situe entre les pentests de type White Box et Black Box. Le pentester pourra disposer d’un certain nombre d’informations avant d’effectuer son test d’intrusion. Il peut par exemple être intégré à l’entreprise comme un employé. Il aura donc des informations de base et un compte utilisateur avec des droits limités. Il va ensuite, comme pour n’importe quel pentest, tenter d’obtenir plus de droit et d’accéder à des informations sensibles ou perturber le fonctionnement normal de l’entreprise.

Le pentest en mode White Box (boite blanche) se caractérise par un partage complet des informations avec l’auditeur. L’objectif est d’identifier le maximum, (idéalement la totalité) des failles existantes en passant au crible l’ensemble du périmètre destiné à être évalué.

Le pentest whitebox est tout le contraire du blackbox. Le test d’intrusion sera réalisé en complète collaboration avec les services techniques de l’entreprise. De cette manière, l’auditeur a accès à l’ensemble du système d’information, à sa configuration, à la documentation technique. Ce pentest est donc très proche d’un audit de sécurité classique. Il est en revanche plus complet puisqu’il va permettre de détecter les vulnérabilités du Système d’information bien plus précisément et proposer des solutions concrètes.