Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/06977.jsonl.gz/11

Audit intrusif (test d’intrusion)
Le test d'intrusion (souvent appelé « pentest », suivant le terme anglais) est une méthode d'évaluation de la sécurité d'un système d'information basée sur une simulation d'attaque en conditions réelles (ou proches de celles-ci).
Pour cela, des ingénieurs SCRT disposant de fortes compétences techniques se mettent « dans la peau de l'attaquant » afin de déceler et exploiter toute faille pouvant permettre de pénétrer, ou compromettre d'une quelconque manière, le système d'information ciblé.
Ces tests peuvent, selon les besoins et le scénario d'attaque qui est souhaité, être menés sur divers types de cibles, comme un système d'information dans son intégralité, un sous-ensemble spécifique de celui-ci (un ou plusieurs sous-réseaux, un groupe de machines, etc...) ou une application en particulier. Ils peuvent également avoir pour cibles des types d'infrastructures plus spécifiques comme des réseaux WiFi, des réseaux VoIP ou des infrastructures SCADA.
Afin que l'audit puisse couvrir un large spectre d'attaques, les ingénieurs SCRT peuvent se positionner selon différents profils. Ces profils vont être déterminés selon deux critères : le positionnement et le niveau d'accès.
Le positionnement détermine la source des attaques relativement au système d'information visé. Il peut correspondre à l'un des scénarios suivants :
- Externe : dans ce scénario, les intervenants SCRT se placent dans la peau d'un attaquant agissant au travers d'Internet.
- Interne : dans ce scénario, les intervenants SCRT se placent dans la peau d'un attaquant agissant depuis l'intérieur du système d'information de la société ciblée.
Le niveau d'accès, quant à lui, détermine l'intégration préalable de l'attaquant dans le système d'information de la société. Il peut correspondre à l'un des profils suivants :
- Non-authentifié (black-box) : dans ce profil, l'attaquant ne dispose d'aucun accès (logique) préalable au système d'information. Il ne dispose d'aucun compte utilisateur ni d'aucune connaissance sur ce système.
- Authentifié (grey-box) : dans ce profil, l'attaquant dispose d'un certain niveau d'accès au système ciblé. Il peut par exemple s'agir d'un compte utilisateur valide, lui permettant ainsi de simuler un utilisateur légitime mais malveillant.
- Il est finalement possible d’envisager un niveau d'accès maximal (white-box) dans lequel les intervenants disposent non seulement de comptes d'accès mais également d'une documentation détaillée sur les systèmes faisant partie du périmètre d'audit ou encore du code source des applications concernées.
Social Engineering
Qu'il s'agisse de Spear-Phishing visant à soustraire de l'information à des utilisateurs ou d'une tentative d'infection des postes de travail par l'utilisation d'un périphérique infecté, de nombreuses attaques informatiques reposent aujourd'hui sur des composantes d'ingénierie sociale (ou « social engineering »).
Le social engineering est une technique d'attaque cherchant à exploiter le facteur humain dans le but de compromettre un système informatique. Il arrive en effet que des utilisateurs peu informés sur ces techniques puissent – à leur insu – permettre à un attaquant de contourner des mécanismes de sécurité ou encore lui fournir directement les éléments nécessaires pour mener à bien son attaque (comme des mots de passe ou des données techniques critiques).
Afin de permettre aux sociétés de tester leur niveau de faiblesse à ce type d'attaques, SCRT est en mesure de proposer des attaques de type « social engineering », à savoir des attaques ciblant les employés et collaborateurs de celles-ci.
Ces attaques peuvent être menées selon des scénarios courants (par exemple une campagne de phishing ciblée) ou être personnalisés pour s'adapter au contexte et à l'environnement du client (en incluant, par exemple, l'introduction frauduleuse dans les locaux de la société cliente).
Ce type d'attaques peut être mené de manière autonome ou alors être intégré à un test d'intrusion plus général. En effet, en permettant aux ingénieurs SCRT d'inclure des attaques de social engineering dans un test d'intrusion, la société cliente est ainsi assurée d'observer des résultats très proches de ceux pouvant être obtenus par un attaquant réel (qui fera usage de ce type de techniques si elles peuvent lui permettre d'atteindre son but).
Revue de code
SCRT est en mesure de proposer des revues de code orientées sur les aspects de sécurité. L'objectif de ce type de mission est de déceler d'éventuelles vulnérabilités directement dans le code source d'une application.
Ce type d'audit peut être complémentaire au test d'intrusion de l'application (ou mené de concert avec celui-ci, dans le cas d'un test d'intrusion « white-box ») ou alors faire l’objet d'une mission à part entière (par exemple lorsque l'application n'est pas encore déployée). Dans ce second scénario, la revue de code présente l'avantage de pouvoir être menée sur un sous-ensemble de l'application (ou sur l'implémentation de certaines fonctionnalités spécifiques) et ce, alors même que l'application n'est pas complètement terminée. Ceci permet, par exemple, d'intégrer l'audit de sécurité très tôt dans le processus de développement et de déploiement d'une application.
SCRT est en mesure de réaliser des audits de code sur les langages de programmation les plus courants notamment :
- C / C++
- C#
- Python
- Ruby
- JavaScript / NodeJS
- Java / JSP
- Objective-C
- PHP
- ASP(.NET)
Néanmoins la revue de code sur d'autres langages est également envisageable, sur demande.
Audit mobile
Il est rare que le système d'information d'une société actuelle ne contienne pas, d'une manière ou d'une autre, des appareils mobiles de type smartphone ou tablette. Qu'ils soient utilisés pour accéder à des ressources habituelles telles que l'e-mail ou les calendriers ou pour permettre l'utilisation d'applications métiers spécialement développées pour ces plateformes il est clair que leur utilisation ne peut pas être négligée du point de vue de la sécurité.
S'ils sont utilisés au sein de l'entreprise, ces équipements peuvent, au même titre que tout autre ordinateur ou support de données, contenir des informations sensibles ou confidentielles, qui doivent donc être sécurisées non seulement contre les menaces habituelles mais également contre les fréquents cas de perte ou de vol de l'équipement.
Afin d'aider les sociétés à se préparer à ce type de cas, ainsi qu'à évaluer la sécurité de leurs équipements mobiles de manière générale, SCRT propose différents types d'audits ciblant spécifiquement les terminaux mobiles (Android et iOS).
Plus précisément, SCRT est en mesure de proposer des audits de type « forensique offensif », visant à évaluer les possibilités de récupération des données stockées sur un appareil ayant été perdu ou volé (avec ou sans attaques physiques destructrices pour l'équipement). Ce type d'audit est également particulièrement adapté pour tester une configuration « durcie »
Pour les sociétés développant (ou faisant développer) des logiciels pour plateformes mobiles, que ce soit pour leur usage interne ou dans le but de les commercialiser, SCRT est également en mesure de proposer l'audit d'applications mobiles spécifiques, menés en « black-box » ou comprenant la revue du code source.
Site survey
Maintenir son réseau interne correctement isolé et filtré vis-à-vis de l'extérieur (ou même simplement de sous-réseaux de moindre confiance faisant partie de l'infrastructure de l'entreprise) n'est pas, en soi, une tâche triviale, toutefois celle-ci se complexifie encore lorsque des composants réseau échappent au contrôle des administrateurs.
Un cas particulier et – malheureusement – trop fréquent de ce type de scénario se retrouve lorsqu'un utilisateur connecte, par malveillance ou simplement par manque de sensibilisation, un point d'accès WiFi sur le réseau interne de l'entreprise. Ceci peut se produire, par exemple car l'utilisateur souhaite pouvoir accéder plus facilement au réseau depuis un ordinateur portable ou encore accéder à l'intranet de la société depuis sa tablette.
Afin d'adresser ce problème de sécurité, SCRT propose de mener des « site-survey » WiFi, non pas dans le but d'analyser la couverture réseau mais d'identifier des points d'accès non autorisés. Pour cela, SCRT utilise des solutions (équipements et logiciels) spécialisées visant à détecter et localiser tous les points d'accès se trouvant dans les locaux de la société. Ceux-ci sont non seulement listés (avec les réseaux qu'ils propagent) mais également positionnés sur un plan des bâtiments, permettant ainsi leur neutralisation immédiate.
Recherche & Développement
Afin de répondre à des problématiques fréquemment rencontrées lors de leurs missions ou simplement pour approfondir leurs connaissances dans un domaine particulier, les ingénieurs SCRT mènent ou participent régulièrement à des projets de recherche et développement.
Ces projets peuvent être internes à la société (tout en donnant parfois naissance à des outils qui sont ensuite mis à disposition de tous sur Internet), ou alors s'intégrer à des projets communautaires de plus grande envergure (par exemple l'écriture de modules pour le projet Metasploit Framework).
Les différents outils développés par les ingénieurs SCRT et mis à disposition de la communauté sont disponibles sur cette page. Ces outils sont mis à disposition gratuitement et ne font l'objet d'aucune garantie ni d'aucun support de la part de SCRT.
© 2002-2017 SCRT. Tous droits réservés.