Test de pénétration ou « pen test », de quoi s’agit-il ?

Un test de pénétration est une pratique consistant à évaluer un système informatique, une application web ou un réseau en vue de détecter ses vulnérabilités. Ces dernières doivent être identifiées, car peuvent être exploitées par des pirates.

Les principes du test

Les tests de pénétration peuvent être effectués manuellement. Toutefois, il existe aujourd’hui des logiciels qui vous facilitent le travail. Dans tous les cas, l’objectif du test est le même : identifier les faiblesses de sécurité. Il est aussi question de s’assurer de la conformité d’un système par rapport à la politique de sécurité d’une entreprise. Toutefois, avant de procéder au test proprement dit, il est important de réunir le maximum d’informations pertinentes sur le système à évaluer. Cette phase est appelée étape de reconnaissance. Un pen test implique le repérage de tous les points d’entrée possibles, une tentative d’effraction réelle ou virtuelle. Ensuite les résultats sont restitués aux personnes intéressées. Vous voulez demander un budget de sécurité ? Ce type de test doit vous intéresser.

Les démarches constituant le pen test

Les tests de pénétration ne constituent pas une stratégie. Toutefois, ses résultats doivent servir pour la mise en place d’une stratégie de sécurité globale jugée efficace. Autrement, les tests n’auraient aucune valeur ajoutée. Les responsables de système informatique dans une entreprise doivent être conscients de l’utilité des tests de pénétration pour la sécurité globale de leur infrastructure.

Une démarche de test de pénétration comprend plusieurs tests, dont : tests ciblés, tests externes, tests internes, tests à l’aveugle et tests en double aveugle. Les tests ciblés sont réalisés par une équipe dédiée avec l’intervention de l’équipe informatique. Les tests externes concernent les serveurs et périphériques externes exploités par une entreprise : serveurs DNS, serveurs Web, pare-feu, serveurs de messagerie, etc. Les tests internes évaluent les éventuels dégâts pouvant être créés par utilisateur interne à l’entreprise qui lui souhaite porter préjudice. Dans le cadre des tests à l’aveugle, les informations communiquées à l’équipe chargée du test sont fortement limitées. Un test en double aveugle évalue plusieurs points : surveillance de la sécurité, repérage des incidents et procédures de réponse. Il requiert un maximum de discrétion.