Les tests d'intrusion sont largement utilisés pour compléter un pare-feu d'application Web (WAF) dans le contexte de la sécurité des applications Web. Un test d'intrusion, aussi appelé pen test, simule une cyber agression sur votre système informatique afin d'identifier des failles exploitables. Les résultats des tests d'intrusion peuvent ensuite être utilisés pour affiner vos politiques de sécurité WAF et résoudre les vulnérabilités détectées. Voici tout ce que vous devez savoir sur un test d'intrusion, y compris les différents types et méthodes.
Qu'est-ce qu'un test d'intrusion ?
Un test d'intrusion (pen test) est une attaque simulée sanctionnée par la loi sur un système informatique pour évaluer sa sécurité. Les testeurs d'intrusion utilisent les mêmes outils, stratégies et processus que les attaquants pour identifier et montrer les implications commerciales des failles du système. Les tests de pénétration reproduisent généralement un certain nombre d'agressions qui pourraient mettre en danger une entreprise. Ils peuvent déterminer si un système est suffisamment puissant pour résister aux attaques provenant de positions authentifiées et non authentifiées, ainsi que de divers rôles système. Un test d'intrusion peut entrer dans n'importe quel aspect d'un système avec la bonne portée.
Quels sont les avantages des tests d'intrusion ?
Idéalement, les logiciels et les systèmes sont développés dès le départ dans le but d'éliminer les problèmes de sécurité potentiellement dangereux. Un test de plume offre des informations sur la façon dont cet objectif a été atteint. Voici comment les tests d'intrusion peuvent être bénéfiques pour une entreprise.
- Identifier les failles du système
- Déterminer la robustesse du contrôle.
- Contribuer à la conformité aux réglementations en matière de confidentialité et de sécurité des données (par exemple, PCI DSS, HIPAA et GDPR).
- Fournir à la direction des preuves qualitatives et quantitatives de la posture de sécurité existante et des priorités budgétaires.
Quelles sont les étapes du Pen Test ?
Les testeurs de plume agissent comme des adversaires motivés pour imiter les agressions. Ils suivent généralement un plan qui comprend les étapes suivantes :
#1. Reconnaissance.
Pour guider l'approche de l'attaque, rassemblez autant d'informations que possible sur la cible auprès de sources publiques et privées. Les recherches sur Internet, la récupération des informations d'enregistrement de domaine, l'ingénierie sociale, l'analyse non intrusive du réseau et parfois la plongée dans les poubelles sont toutes des sources. Ces données aident les testeurs de stylet à cartographier la surface d'attaque de la cible et les vulnérabilités potentielles. La reconnaissance varie en fonction de la portée et des objectifs du test d'intrusion ; cela peut être aussi simple que de passer un appel téléphonique pour parcourir les capacités d'un système.
# 2. Balayage
Les testeurs de stylet utilisent des outils pour rechercher des failles dans le site Web ou le système cible, tels que les services ouverts, les problèmes de sécurité des applications et les vulnérabilités open source. Les testeurs de stylo utilisent une gamme d'outils basés sur ce qu'ils découvrent lors de la reconnaissance et des tests.
#3. Obtention de l'entrée.
Les motivations des attaquants peuvent aller du vol, de la modification ou de la destruction de données au transfert de fonds ou simplement à l'atteinte à la réputation d'une entreprise. Les testeurs de stylo décident des outils et des tactiques à utiliser pour accéder au système, que ce soit par une faille comme l'injection SQL ou par un logiciel malveillant, l'ingénierie sociale ou autre chose.
#4. Garder l'accès ouvert
Une fois que les testeurs de stylo ont accédé à la cible, leur attaque simulée doit rester connectée suffisamment longtemps pour atteindre leurs objectifs d'exfiltration de données, de modification ou d'abus de fonctionnalité. Il est nécessaire de démontrer l'impact possible.
Types de tests de pénétration
Avant de choisir un fournisseur, il est essentiel de comprendre les nombreux types de tests d'intrusion accessibles, car les engagements diffèrent par leur objectif, leur profondeur et leur durée. Voici des exemples d'engagements courants de piratage éthique :
#1. Tests d'intrusion de l'infrastructure interne et externe
Une évaluation de l'infrastructure réseau sur site et dans le cloud, y compris les pare-feu, les hôtes système et les périphériques tels que les routeurs et les commutateurs. Des tests d'intrusion internes, axés sur les actifs du réseau de l'entreprise, ou des tests d'intrusion externes, axés sur l'infrastructure accessible sur Internet, peuvent être utilisés. Pour déterminer la portée d'un test, vous devez connaître le nombre d'adresses IP internes et externes à examiner, la taille du sous-réseau du réseau et le nombre de sites.
#2. Examen de pénétration sans fil
Un test WLAN (réseau local sans fil) qui cible explicitement le WLAN d'une organisation ainsi que les protocoles sans fil tels que Bluetooth, ZigBee et Z-Wave. Aide à la détection des points d'accès malveillants, des failles de chiffrement et des vulnérabilités WPA. Les testeurs devront connaître le nombre de réseaux sans fil et invités, d'emplacements et de SSID uniques à évaluer afin de définir la portée d'un engagement.
#3. Test d'applications Web
Un examen des sites Web et des programmes personnalisés distribués via Internet pour identifier les défauts de codage, de conception et de développement qui pourraient être exploités à des fins malveillantes. Avant d'approcher un fournisseur de tests, déterminez le nombre d'applications qui nécessitent des tests, ainsi que le nombre de pages statiques, de sites dynamiques et de champs de saisie qui doivent être évalués.
#4. Test des applications mobiles
Tests d'applications mobiles sur des plates-formes telles qu'Android et iOS pour découvrir les vulnérabilités d'authentification, d'autorisation, de fuite de données et de gestion de session. Pour définir la portée d'un test, les fournisseurs doivent connaître les systèmes d'exploitation et les versions sur lesquels ils souhaitent qu'une application soit évaluée, le nombre d'appels d'API et les conditions préalables au jailbreak et à la détection de la racine.
#5. Examen de la construction et de la configuration
Examinez les versions et les configurations du réseau pour détecter les erreurs sur les serveurs Web et d'applications, les routeurs et les pare-feu. Le nombre de builds, de systèmes d'exploitation et de serveurs d'applications à tester est une information essentielle pour déterminer la portée de ce type d'engagement.
#6. Ingénierie sociale
Une évaluation de la capacité de vos systèmes et de votre personnel à reconnaître et à répondre aux tentatives de phishing par e-mail. Les attaques personnalisées de phishing, spear phishing et Business Email Compromise (BEC) fournissent des informations détaillées sur les dangers potentiels.
#7. Test de pénétration du cloud
Les évaluations personnalisées de la sécurité du cloud peuvent aider votre organisation à surmonter les difficultés de responsabilité partagée en identifiant et en traitant les vulnérabilités dans les environnements cloud et hybrides qui peuvent exposer des actifs importants.
#8. Tests d'intrusion dans un environnement agile
Des évaluations de sécurité continues, centrées sur les développeurs, visant à détecter et à corriger les failles de sécurité au cours du cycle de développement. Cette méthodologie agile permet de garantir que chaque version de produit, qu'il s'agisse d'une simple correction de bogue ou d'une fonctionnalité importante, a été soigneusement testée pour la sécurité.
Méthodes de test de pénétration
#1. Évaluation externe
Les tests d'intrusion externes ciblent les actifs visibles sur Internet d'une entreprise, tels que l'application Web elle-même, le site Web de l'entreprise, les e-mails et les serveurs de noms de domaine (DNS). L'objectif est d'obtenir un accès et d'extraire des informations utiles.
#2. Évaluation interne
Lors d'un test interne, un testeur ayant accès à une application derrière le pare-feu de l'entreprise imite une attaque interne malveillante. Ce n'est pas toujours imiter un employé renégat. Un point de départ courant est un employé dont les informations d'identification ont été obtenues à la suite d'une tentative d'hameçonnage.
#3. Tests à l'aveugle
Dans un test à l'aveugle, un testeur reçoit simplement le nom de l'organisation ciblée. Cela permet au personnel de sécurité d'avoir une vue en temps réel de la manière dont une véritable attaque contre une application pourrait se produire.
#4. Test en double aveugle
Les agents de sécurité dans un test en double aveugle n'ont aucune information préalable sur l'attaque simulée. Ils n'auront pas le temps de consolider leurs fortifications avant une tentative de brèche, un peu comme dans le monde réel.
#5. Tests ciblés
Dans ce scénario, le testeur et le personnel de sécurité collaborent et se tiennent mutuellement informés de leurs mouvements. Il s'agit d'un excellent exercice de formation qui offre à une équipe de sécurité un retour en temps réel du point de vue d'un pirate informatique.
Quel est le rôle d'un testeur d'intrusion ?
Un testeur d'intrusion, contrairement à d'autres experts en informatique, se concentre sur un aspect spécifique de la cybersécurité. Ils contribuent à la protection des informations numériques de leurs entreprises en détectant les failles du système avant qu'une attaque ne se produise, un processus connu sous le nom de test de vulnérabilité.
Les testeurs d'intrusion peuvent sauver leurs organisations des dommages financiers et de la confiance du public qui accompagnent d'importantes violations de données. Pour découvrir les failles potentielles et éviter de futures agressions, ces professionnels pensent comme de dangereux hackers.
Les testeurs d'intrusion sont fréquemment employés par les équipes de cybersécurité ou de technologie de l'information (TI). L'expérience des outils de piratage, du codage et des scripts, ainsi qu'une compréhension approfondie des vulnérabilités et des systèmes d'exploitation sont toutes des capacités de test d'intrusion importantes.
Les testeurs d'intrusion bénéficient de solides compétences en communication, en relations interpersonnelles et en rédaction de rapports.
Combien peut gagner un testeur de stylo ?
Les testeurs de stylo peuvent gagner beaucoup d'argent. Selon Payscale, le salaire moyen d'un testeur d'intrusion en septembre 2021 est de 87,440 2020 $. Ce montant est bien supérieur au salaire médian national du BLS en mai 41,950 pour tous les emplois de XNUMX XNUMX $.
Les testeurs d'intrusion au niveau d'entrée gagnent moins que les professionnels expérimentés. Le salaire varie selon l'éducation, les testeurs d'intrusion de niveau supérieur gagnant souvent plus. L'emplacement, l'industrie et le domaine spécialisé sont tous des facteurs qui peuvent affecter la rémunération.
Salaire d'un testeur d'intrusion basé sur l'expérience
Les échelles salariales des testeurs d'intrusion varient en fonction du niveau d'expérience. Les testeurs d'intrusion avec 20 ans d'expérience gagnent en moyenne 124,610 57,000 $ par an, soit environ XNUMX XNUMX $ de plus que la rémunération moyenne des travailleurs débutants.
Le simple fait d'avoir 1 à 4 ans d'expérience peut augmenter considérablement les revenus d'un testeur d'intrusion, de 67,950 81,230 $ pour un testeur d'intrusion débutant à XNUMX XNUMX $ pour un expert en début de carrière.
Salaire d'un testeur d'intrusion basé sur l'éducation
Les salaires des testeurs d'intrusion augmentent souvent avec le niveau de diplôme. Passer d'un baccalauréat en sécurité de l'information à une maîtrise, par exemple, peut augmenter le salaire moyen de 19,000 XNUMX $ par année.
Considérez les avantages et les inconvénients d'une éducation supplémentaire en évaluant les meilleurs salaires potentiels par rapport au temps et à l'argent nécessaires pour obtenir un autre diplôme. Les certifications et les camps d'entraînement sont des possibilités moins coûteuses.
Les programmes universitaires de tests d'intrusion offrent souvent des diplômes en informatique, en cybersécurité ou en sécurité de l'information.
Salaire d'un testeur d'intrusion par lieu
Outre l'éducation et l'expérience, l'endroit où vous vivez peut avoir un impact sur votre rémunération. Le revenu d'un testeur d'intrusion peut être affecté par des facteurs tels que la demande d'emploi, le coût de la vie et la densité de population. Considérez les professions dans les zones les plus rémunératrices avec des statistiques de coût de la vie inférieures à la moyenne pour optimiser le potentiel de gain.
Quel accès les testeurs de stylo ont-ils ?
Les testeurs reçoivent divers degrés d'informations sur le système cible ou y ont accès, en fonction des objectifs du test d'intrusion. Dans certaines circonstances, l'équipe de test de pénétration commence par une stratégie et reste avec elle. Parfois, la stratégie de l'équipe de test se développe au fur et à mesure que sa compréhension du système se développe pendant le test d'intrusion. L'accès au test d'intrusion est divisé en trois niveaux.
- La boîte opaque. L'équipe n'a aucune connaissance de la structure interne du système cible. Il se comporte de la même manière qu'un pirate informatique, explorant toutes les failles exploitables de l'extérieur.
- Boîte semi-transparente. Le personnel est familiarisé avec un ou plusieurs ensembles d'informations d'identification. Il comprend également les structures de données de base, le code et les algorithmes de la cible. Les testeurs de stylet peuvent créer des cas de test à partir d'une documentation de conception complète, comme des diagrammes architecturaux du système cible.
- Boîte transparente. Les testeurs de stylo ont accès aux systèmes et aux artefacts du système tels que le code source, les fichiers binaires, les conteneurs et, dans certains cas, les serveurs qui exécutent le système. Cette méthode offre le plus haut niveau d'assurance dans les plus brefs délais.
Que sont les outils de test d'intrusion ?
Les outils de test de pénétration sont utilisés dans le cadre d'un test de pénétration (Pen Test) pour automatiser des processus spécifiques, améliorer la vitesse de test et découvrir des défauts qui seraient difficiles à détecter en utilisant uniquement des techniques d'analyse manuelles. Les outils d'analyse statique et les outils d'analyse dynamique sont deux types d'outils de test d'intrusion.
Quels sont les types d'outils de test de stylo ?
Il n'existe pas d'outil de test de stylo unique. Au lieu de cela, différentes cibles nécessitent différents ensembles d'outils pour l'analyse des ports, l'analyse des applications, les effractions Wi-Fi et la pénétration directe du réseau. Les outils de test de stylet sont généralement classés en cinq groupes.
- Logiciel de reconnaissance pour localiser les hôtes du réseau et les ports ouverts
- Analyseurs de vulnérabilités dans les services réseau, les applications Web et les API
- Des outils de proxy tels que des proxys Web spécialisés ou des proxys intermédiaires génériques sont disponibles.
- Les outils d'exploitation sont utilisés pour prendre pied dans le système ou accéder aux ressources.
- Outils de post-exploitation pour interagir avec les systèmes, conserver et développer l'accès et atteindre les objectifs d'attaque
Qu'est-ce qui distingue le Pen Testing des tests automatisés ?
Les testeurs de stylo utilisent des outils de numérisation et de test automatisés, malgré le fait que le test de stylo est en grande partie une entreprise manuelle. Ils vont également au-delà des outils pour fournir des tests plus approfondis qu'une évaluation de la vulnérabilité (c'est-à-dire des tests automatisés) en utilisant leur compréhension des stratégies d'attaque actuelles.
Test manuel du stylet
Les tests d'intrusion manuels identifient les vulnérabilités et les faiblesses qui ne figurent pas dans les listes populaires (par exemple, le Top 10 de l'OWASP) et évaluent la logique métier que les tests automatisés peuvent ignorer (par exemple, la validation des données, les contrôles d'intégrité). Un test au stylo manuel peut également aider à identifier les faux positifs fournis par les tests automatisés. Les testeurs de stylo peuvent examiner les données pour cibler leurs attaques et tester les systèmes et les sites Web d'une manière que les solutions de test automatisées suivant une routine prédéfinie ne peuvent pas car ce sont des professionnels qui pensent comme des adversaires.
L'automatisation des tests
Par rapport à une approche de test d'intrusion entièrement manuelle, les tests automatisés produisent des résultats plus rapidement et nécessitent moins de personnes qualifiées. Les programmes de test automatisés suivent automatiquement les résultats et peuvent parfois les exporter vers une plateforme de reporting centralisée. De plus, les résultats des tests de stylet manuels peuvent varier d'un test à l'autre, mais effectuer des tests automatisés sur le même système donne à plusieurs reprises les mêmes résultats.
Quels sont les avantages et les inconvénients du Pen Test ?
Le nombre et la gravité des failles de sécurité augmentant d'année en année, les entreprises n'ont jamais eu autant besoin d'avoir une visibilité sur la manière dont elles peuvent résister aux attaques. Les réglementations telles que PCI DSS et HIPAA nécessitent des tests d'intrusion périodiques pour garantir la conformité. Compte tenu de ces contraintes, voici quelques avantages et inconvénients de ce type de technique de détection de défauts.
Avantages du test de stylo
- Les approches d'assurance de la sécurité en amont, telles que les outils automatisés, les normes de configuration et de codage, l'analyse de l'architecture et d'autres tâches d'évaluation des vulnérabilités plus légères, présentent des défauts.
- Détecte les failles logicielles et les vulnérabilités de sécurité connues et inconnues, y compris les problèmes mineurs qui peuvent ne pas causer beaucoup d'inquiétude en eux-mêmes, mais peuvent causer de graves dommages dans le cadre d'un schéma d'attaque plus large.
- Peut attaquer n'importe quel système en imitant le comportement de la plupart des pirates informatiques hostiles, en simulant le plus fidèlement possible un ennemi du monde réel.
Les inconvénients du test de stylo
- Est laborieux et coûteux
- N'empêche pas complètement les bogues et les défauts d'entrer dans l'environnement de production.
Quels sont les deux tests de pénétration couramment utilisés ?
Les deux types de tests d'intrusion les plus courants sont automatisés et manuels.
Pourquoi utilisons-nous les tests d'intrusion ?
L'objectif des tests d'intrusion est d'aider les entreprises à déterminer où elles sont les plus vulnérables aux attaques et à remédier de manière proactive à ces vulnérabilités avant que les pirates ne les exploitent.
Résumer,
Un test d'intrusion (pen test) est une attaque simulée sanctionnée par la loi sur un système informatique pour évaluer sa sécurité. Les tests d'intrusion fournissent des informations détaillées sur les menaces de sécurité réelles qui peuvent être exploitées. En faisant un test d'intrusion, vous pouvez identifier quelles vulnérabilités sont critiques, lesquelles sont mineures et lesquelles sont des faux positifs.
Articles Relatifs
- MEILLEURS SITES WEB ET ENTREPRISES DE TESTS DE PRODUITS EN 2023
- GAME TESTER : signification, emplois, salaire et conseils gratuits
- TESTEUR DE JEUX VIDÉO : Signification, salaire, comment devenir un et emplois à distance
- STRATÉGIE DE PÉNÉTRATION DU MARCHÉ : un guide pour la pénétration du marché (+ conseils gratuits)
Bibliographie
