Cadre et méthodologie

Un test d'intrusion (pentest) simule une attaque réelle, dans un cadre autorisé, pour mesurer l'exposition et prioriser les corrections.

• Cadre légal : sans autorisation écrite, accéder à un système est un délit (article 323-1 du Code pénal). Une convention précise le périmètre (IP, domaines, applications), les dates, les techniques interdites, les contacts d'urgence.
• Approches : boîte noire (aucune information), grise (un compte utilisateur), blanche (code, architecture).
• Types : externe, interne (Active Directory), applicatif web, mobile, Wi-Fi, ingénierie sociale, Red Team (scénario complet et discret) ; en France, prestataires qualifiés PASSI par l'ANSSI.
• Phases : reconnaissance, cartographie et scan, recherche de vulnérabilités, exploitation, post-exploitation (élévation de privilèges, mouvement latéral), rapport.
• Le rapport : synthèse pour la direction, détails reproductibles, criticité (souvent avec le score CVSS), recommandations priorisées, puis un test de contrôle après correction.