Un Vulnerability Assessment ou test d’intrusion (pentesting ou pentest) vous apporte une vue externe sur la sécurité de votre infrastructure informatique.
Ce dernier permet de pointer des failles potentielles qui pourraient être exploitées par des personnes malveillantes ou pirates informatiques. Les occasions ne manquent pas: pc’s infectés qui scannent aléatoirement l’internet à la recherche de vulnérabilité, pirates informatiques à la recherche de données privées pour vous faire chanter, activistes qui défendent une cause et veulent faire parler d’eux, espionnage industriel, tentatives de fraudes..
Chaque Vulnerability Assessment ou pentest délivre un rapport détaillé. Ce dernier comprend notamment notre évaluation des failles trouvées et nos conseils pour y remédier.
Cette démarche s’inscrit également dans le cadre de la GDPR où le gestionnaire d’application prend des mesures afin de détecter proactivement des failles et ainsi réduire les risques liés à l’expositon des données.
En black-box testing, le testeur agit comme un inconnu qui découvre le système et qui n’a pas accès aux informations internes du système. Les résultats du test sont représentatifs de ce qu’un utilisateur avec des connaissances techniques avancées est capable de faire avec le système. Néanmoins, cette méthodologie demande beaucoup de ressources. De plus, le test étant réalisé à un instant particulier, ses résultats tiennent compte des vulnérabilités connues au moment du test. pentesting
En white-box testing, le testeur a une connaissance des documentations, de l’architecture et du design du projet ou du site web. Le testeur ayant accès aux informations techniques (design global, ouverture firewall, tables de routage, solidité des mots de passes, frameworks et modules utilisées,…) et en se basant sur son expérience, il peut plus facilement flairer les faiblesses du système. Il en résulte qu’il peut concentrer son attention sur certains points d’attention.De plus, dans ce scénario, le testeur simule un intrus interne qui a accès à une certaine quantité d’information limitée (accès réseau, ip adresses, mot de passe basique,..) du système ciblé.
Notre méthodologie recommandée est non destructrice de votre environnement et basée sur une formule hybride d’une partie en black-box et une seconde en white-box testing pour combiner les avantages de chaque méthode.
Cible : sites web et applications Web
Recherche des vulnérabilités les plus répandues (OWASP Top 10) qui représentent 90% des attaques dans l’industrie telles que les attaques SQL injection (inband, OOB, Blind), XSS, CSRF,.
Identification de failles au niveau du framework (PHP, JAVA, .net, Rails,..) ou de sa configuration
Analyse de failles dans les modules utilisés
Contrôle de problèmes de configuration au niveau du serveur Web, de l’application serveur et de la base de données (par exemple mots de passe par défaut)
Mettre en avant des problèmes conceptuels au niveau de l’architecture et les risques inhérents (absence d’encryption sur certains flux, absence de politique de mots de passe, absence de captcha,..)
Cible : Applications, applications métiers, applications VoIP/IP PBX ou media, Webservices,..
Sur base d’un projet, d’une nouvelle infrastructure ou d’un renouvellement, nous mettons en œuvre notre savoir-faire pour tester le niveau de sécurité de votre application métier, web services ou tout autre type d’applications.
Cible: liens vers un partenaire, SSL VPN, work@home, extranet, réseau sans-fil, 802.1x, BYOD, datacenter, réseau d’utilisateurs, réseau pour inviter ou clients, Active Directory,..
Sur base d’un projet, d’une nouvelle infrastructure ou d’un renouvellement, nous mettons en œuvre notre savoir-faire pour évaluer la sécurité de vos composants d’infrastructure. Les composants d’infrastructure utilisateur ou datacenter ont une place capitale dans le modèle de sécurité en entreprise.
Objectifs:
– Mesurer la réaction des employés ou collaborateurs face aux menaces extérieures
– Mesurer le niveau de cyber awareness des collaborateurs
– Anticiper des attaques fréquentes.
L’ingénieurie sociale (« social engineering ») est un excellent outil pour obtenir un maximum d’information en un minimum de temps. Des attaques de type « spear phishing » peuvent cibler des utilisateurs qui accèdent des données particulièrement sensibles (CEO, directeur financier, sysadmin,..).
Un scénario d’attaque fréquence consiste à envoyer par email un mail au contenu « déguisé ». Il pourrait s’agit d’une fausse invitation Linkedin, un email contenant un CV, une mise à jour d’un logiciel,.. L’utilisateur ciblé clique sur l’objet attaché ou sur un lien… et son ordinateur se retrouve infecté par un dangereux malware.
Nous pouvons simuler ce genre d’attaques en contactant, avec votre accord, certains collaborateurs. Vous serez en mesure de tirer des statistiques sur les réactions des utilisateurs dans leur globalité. Nous proposons de réaliser cet exercice à différents moments. pentesting.
Par exemple, avant ou après une session d’information adressée aux collaborateurs pour les conscientiser face aux menaces des outils Internet. Certains collaborateurs sont très conscients des problèmes de sécurité, ils peuvent vous aider à remonter au service ICT des attaques. D’autres utilisateurs n’ont aucune notion en cyber sécurité et présent une menace accrue pour l’ensemble de vos données.
Identifiez ces utilisateurs et offrez-leur la possibilité d’en apprendre plus.
Entrer en contact
Abonnez-vous et restez à jour sur les dernières améliorations et services.