Test De Logiciel

Tests de pénétration pour les débutants

30 octobre 2021

Les tests d'intrusion consistent à tester un système informatique, une application Web et un réseau pour détecter les faiblesses de sécurité qu'un attaquant pourrait utiliser. Ce type de test peut être automatique ou effectuée manuellement. Le processus implique de collecter des informations sur la cible avant le test, d'identifier les points d'entrée possibles, de tenter de s'introduire virtuellement ou réellement et de rendre compte des résultats.

L'objectif principal d'un test d'intrusion est d'identifier les points faibles de la posture de sécurité d'une organisation, ainsi que de mesurer l'acceptation de la politique de sécurité, de tester la sensibilisation à la sécurité et de déterminer si l'organisation serait sujette à des catastrophes de sécurité.

À le test d'intrusion met également en évidence les faiblesses d'une entreprise politiques de sécurité.

Les rapports générés par un test d'intrusion fournissent des commentaires. Les rapports aident les développeurs d'applications à créer des applications plus sécurisées.

Table des matières

Étapes pour lancer un test de pénétration

Étape 1) La phase de planification

  1. La portée et la stratégie d'une mission sont déterminées.
  2. Les politiques de sécurité, les normes sont utilisées pour définir la portée.

Étape 2) La phase de découverte.

  1. Collectez des informations sur le système, y compris les données de conception, les noms d'utilisateur et même les mots de passe.
  2. Numérisez et sondez dans les ports
  3. Vérifier les vulnérabilités du système

Étape 3) La phase d'attaque

  1. Trouvez des exploits pour diverses faiblesses. Vous n'obtiendrez pas les privilèges de sécurité nécessaires pour exploiter le système

Étape 4) La phase de rapport

  1. Le rapport doit contenir des conclusions détaillées.
  2. Risques de faiblesses constatées et leur impact sur l'activité.
  3. Recommandations et solutions.

Méthodes de test de pénétration

Tests externes

Il cible les actifs de l'entreprise qui sont visibles sur Internet, par exemple, les serveurs de messagerie et de noms de domaine (DNS) et l'application Web elle-même, le site Web de l'entreprise. L'objectif principal est d'accéder et d'extraire des données précieuses.

Tests internes

Un testeur ayant accès à une application derrière le pare-feu simule une attaque par un initié. Cela n'affecte pas nécessairement un employé voyou. Un scénario typique peut être un employé dont les informations d'identification ont été volées.

Tests à l'aveugle

Un testeur ne reçoit que le nom de l'entreprise ciblée. Il offre au personnel de sécurité un aperçu de la manière dont une application réelle se déroulerait.

Test en double aveugle

Le personnel de sécurité ne connaît pas l'attaque. Ils n'auraient pas le temps d'étayer leurs défenses avant une brèche.

Tests ciblés

Les testeurs et le personnel de sécurité travaillent ensemble et se tiennent mutuellement informés de leurs mouvements. Il s'agit d'un exercice de formation qui fournit à l'équipe de sécurité un retour en temps réel du point de vue d'un pirate informatique.

AVANTAGES

  • Les tests permettent une approche de sécurité audacieuse.
  • Il permet d'étudier les risques réels et d'avoir une représentation précise de la posture de sécurité de l'infrastructure informatique d'une entreprise à un moment donné.
  • Il aide à enquêter sur une violation de données ou les intrusions sur le réseau pour découvrir toute piste de fuite de données ou de vol de propriété intellectuelle.
  • Il permet la collecte d'informations sur le système pour apprendre et peut-être même tomber sur des rapports internes sur des pirates actifs.
  • Il peut trouver des failles inconnues et connues et exploiter des vulnérabilités de sécurité, qui peuvent être identifiées et corrigées avant qu'elles ne soient utilisées de manière beaucoup plus efficace avec des outils automatisés.
  • Elle peut valider l'efficacité des mécanismes défensifs bien au-delà de l'analyse fournie par une évaluation de la vulnérabilité dans l'identification des faiblesses.
  • Il donne les moyens possibles de tester un système avec des attaques aussi proches que possible des incidents du monde réel grâce au travail de professionnels qui pensent et frappent comme le feraient la plupart des pirates malveillants.

LES INCONVÉNIENTS

  • Il est douteux qu'une pénétration test trouvera toute la sécurité problèmes ou résoudra tous les problèmes lors de la recherche de faiblesses et de la génération d'un rapport automatisé.
  • Il faut plus de temps à un testeur pour inspecter le système afin d'identifier l'attaque que pour faire une évaluation des faiblesses ; étant la portée du test est plus significatif. Ses actions peuvent également perturber les activités commerciales car elles imitent une véritable attaque.
  • Il est à forte intensité de main-d'œuvre et peut représenter un coût accru, et peu d'organisations pourraient ne pas être en mesure d'allouer un budget pour cela. Cela est vrai lorsqu'une entreprise est embauchée pour effectuer la tâche.
  • Cela donne un faux sentiment de sécurité. Dans la plupart des cas, les tests sont connus des équipes de sécurité de l'entreprise qui sont prêtes à rechercher les menaces et à se défendre. Les véritables attaques sont inopinées et, surtout, inattendues.

Types de tests de pénétration

Voici les principaux types de tests d'intrusion :

    Test de pénétration en boîte blanche Test de pénétration de la boîte noire Test de pénétration de la boîte grise

Test de pénétration en boîte blanche

Il s'agit d'un test complet, où un testeur reçoit de nombreuses informations sur les systèmes et le réseau, telles que le code source, le schéma, les détails du système d'exploitation, l'adresse IP, etc. Il est considéré comme une simulation d'une attaque par la source interne. Il est également appelé test structurel, en boîte de verre, en boîte transparente et en boîte ouverte.

Les tests de pénétration en boîte blanche examinent la couverture du code et effectuent des tests de flux de données, des tests de chemin et des tests de boucle.

AVANTAGES

  • Il s'assure que des chemins indépendants d'un module ont été exercés.
  • Il fournit toutes les décisions logiques qui sont vérifiées avec leur valeur vraie et fausse.
  • Il découvre les erreurs et vérifie la syntaxe.
  • Il trouve les erreurs de conception qui se produisent en raison de la différence entre le flux logique du programme et l'exécution réelle.

LES INCONVÉNIENTS

  • L'attaque manque de réalisme.
  • Le testeur pense différemment d'un attaquant non averti.

Test de pénétration de la boîte noire

Dans ce test, le testeur n'a aucune idée du système qu'il va tester. Il/elle souhaite collecter des informations sur le réseau ou le système. Par exemple, dans ce type de test, un testeur sait seulement quel devrait être le résultat attendu, et il ne sait pas comment le résultat va être. Il n'examine aucun code de programmation.

AVANTAGES

  • Il ne demande aucune connaissance spécifique en langage de programmation.
  • Le testeur vérifie les contradictions dans le système existant.
  • Le test est généralement effectué du point de vue de l'utilisateur, et non du concepteur.

LES INCONVÉNIENTS

  • Les cas de test sont difficiles à concevoir.
  • Il ne dirige pas tout.

Test de pénétration de la boîte grise

Dans les tests de pénétration de la boîte grise, un testeur offre généralement des informations partielles ou limitées sur le programme d'un système. Il est considéré comme une attaque par un pirate informatique externe qui a obtenu un accès illégal au réseau d'une organisation.

AVANTAGES

  • Le testeur n'a pas besoin d'accéder au code source.
  • Il y a une nette différence entre un développeur et un testeur, il y a donc moins de risque de conflit personnel.
  • Vous n'avez pas besoin de fournir des informations internes sur les fonctions du programme et d'autres opérations.

LES INCONVÉNIENTS

  • Les testeurs n'ont pas accès au code.
  • Le test de la boîte grise est redondant si le développeur de l'application a exécuté un scénario de test similaire.
  • Les tests en boîte grise ne sont pas idéaux pour les tests d'algorithmes.

Outils pour les tests d'intrusion

Le mappeur de réseau (également connu sous le nom de NMAP)

Il est utilisé pour découvrir le type de faiblesses dans l'environnement réseau d'une entreprise ou d'une société. Il peut également être utilisé à des fins d'audit. NMAP prend les paquets de données brutes qui sont créés

  • Quels types d'hôtes sont disponibles sur un tronc ou un segment de réseau particulier
  • Ces hébergeurs fournissent des informations sur les services
  • Tout hôte particulier utilise les versions et les types de filtres/pare-feu de paquets de données

Vous pouvez créer une carte du réseau et à partir de là, souligner les zones importantes de vulnérabilités qu'un cyber-attaquant peut pénétrer.

image 617dd209ddbd1

Wireshark

Cet outil est un véritable analyseur de paquets de données et protocole réseau qui analyse la sécurité faiblesses du trafic en temps réel. Les informations et données peuvent être collectées auprès de :

  • Bluetooth
  • IEEE 802.11
  • IPsec
  • Anneau de jeton
  • Relais de trames
  • KerberosName
  • SNMPv3
  • SSL/TLS
  • WEP
  • Toutes les connexions Ethernet
image 617dd20a27ffd

W3AF

le développeurs de logiciels créer cette suite, et l'objectif principal est de trouver et d'exploiter toutes les faiblesses de sécurité présentes dans les applications Web. Il se compose de nombreux outils qui peuvent éradiquer les menaces telles que :

  • Falsification de l'agent utilisateur
  • En-têtes personnalisés pour les demandes
  • DNS Empoisonnement du cache
image 617dd20aa10c4

Meilleures entreprises pour les tests d'intrusion

Sciencesoft

C'est un fournisseur de services de cybersécurité et une société de développement de logiciels. Il aide leurs clients opérant dans les secteurs de la banque, de la santé, de la fabrication et d'autres secteurs à concevoir et à mettre en œuvre la défense la plus pertinente pour leurs environnements informatiques.

image 617dd20ae7785

Netsparker

est un scanner automatisé précis qui identifie les vulnérabilités dans applications Web et API Web . Il vérifie de manière unique les vulnérabilités prouvant qu'elles sont réelles et non de faux positifs.

Il est disponible sous la forme d'un logiciel de fenêtre et d'un service en ligne.

image 617dd20b464c0

Industrie WAS

Il fournit les tests de pénétration manuels associés à un scanner automatisé des faiblesses des applications Web qui détecte et signale les faiblesses en fonction du top 10 de l'OWASP.

La société est située en Inde avec d'autres bureaux à Mumbai, Bengaluru, Vadodara, Delhi et San Francisco, et les services sont utilisés par plus de 1100 clients dans plus de 25 pays dans le monde.

image 617dd20c1f727

Un intrus

C'est un entreprise de cybersécurité qui fournit une solution SaaS automatisée à leurs clients. Le puissant outil d'analyse est conçu pour fournir des résultats hautement exploitables, aidant les équipes occupées à se concentrer sur ce qui compte vraiment.

Intruder utilise le même moteur que les grandes banques afin que vous puissiez profiter de contrôles de sécurité de haute qualité, sans la complexité. L'intrus propose également un service de test de pénétration hybride, qui comprend des tests manuels pour aider à identifier les problèmes au-delà des capacités des analyses automatisées.

tests de pénétration

FAQ

À quelle fréquence devons-nous effectuer un test d'intrusion ?

Cela dépend de divers facteurs qui doivent être pris en compte lors de l'examen de la fréquence des tests de pénétration. Voici les choses que vous devez garder à l'esprit
À quelle fréquence l'environnement change : Les tests sont souvent programmés en fonction des changements car ils sont proches d'un état prêt pour la production.
Quelle est la taille de l'environnement : Les paramètres les plus étendus sont testés par phases pour niveler l'effort de test et la charge placée sur le sol.

Quels sont les coûts typiques d'un test d'intrusion ?

Le coût des tests d'intrusion varie considérablement.
Plusieurs facteurs sont utilisés pour la tarification des tests d'intrusion, notamment. Il est essentiel d'avoir une réunion de cadrage détaillée pour produire une compréhension claire des besoins et développer un énoncé de travail avant d'engager un test d'intrusion. Idéalement, un test d'intrusion doit être effectué sur une base forfaitaire pour éliminer toute dépense imprévue. Les frais indiqués doivent inclure toute la main-d'œuvre et les outils de test requis.

À quoi faut-il s'attendre du processus de test d'intrusion ?

Les tests d'intrusion sont un processus discipliné. Une société de test doit tenir toutes les parties prenantes bien informées à chaque étape critique du processus. En tant qu'entreprise à la recherche de services de tests d'intrusion, vous devez garder à l'esprit :
Une approche planifiée, documentée et communiquée pour savoir ce qui se passe et quand.
Une approche disciplinée et reproductible doit être suivie.
Le système doit être personnalisé pour s'adapter à l'environnement de l'entreprise.
Un processus d'initiation défini, un processus de planification, des tests coordonnés et un processus de livraison collaboratif pour garantir des résultats précis et une compréhension claire de la remédiation.