Tests de sécurité
Le trouver avant quelqu'un d'autre.
Un test répond à une question qu'un audit ne peut pas trancher : compte tenu de ce qui est réellement exposé, que peut-on en faire ? Nous le vérifions sous mandat écrit, dans un périmètre convenu, et nous montrons notre travail.
La gravité dépend du contexte. Le même défaut technique peut être une note de bas de page dans un système et une menace existentielle dans un autre. Nous cotons les constats selon ce qu'ils atteignent dans votre environnement, ce qui suppose de comprendre le métier avant de coter quoi que ce soit.
Le problème
La sortie d'un scanner n'est pas un test.
Les outils automatiques trouvent des motifs connus et produisent de longues listes, en grande partie du bruit, sans aucun enchaînement. Ce qu'ils ne peuvent pas vous dire, c'est si trois problèmes de faible gravité se combinent en un chemin allant d'Internet à votre base clients.
Nous utilisons l'outillage là où il est efficace, puis passons le temps là où il ne l'est pas : sur la logique de votre système, sur les hypothèses qu'il fait sur ses propres utilisateurs, et sur les chemins entre composants que personne n'a dessinés sur le schéma d'architecture.
Périmètre
Ce qui peut être testé.
Chacun de ces points est un périmètre distinct, avec son mandat, son calendrier et ses règles d'engagement.
- Modélisation des menacesParcours structuré du système avec vos ingénieurs : actifs, acteurs, points d'entrée, et ce qui ferait réellement mal.
- Tests web et APIAuthentification, autorisation, logique métier, traitement des entrées, gestion des sessions, cloisonnement des locataires.
- Configuration cloudChemins d'identité et de permissions, stockage exposé, accessibilité réseau et élévation de privilèges entre comptes.
- Réseau interneCe qu'atteint un attaquant après la chute d'un poste — déplacement latéral, secrets exposés, cloisonnement en pratique.
- Exercice red teamApproche discrète orientée objectif, qui mesure aussi si votre détection et votre réaction s'aperçoivent de quelque chose.
- Contre-testUn second passage ciblé après correction, qui indique constat par constat s'il est clos.
Déroulement
Comment se déroule un test.
Mandater
Périmètre écrit, liste des cibles, fenêtre horaire, techniques autorisées, contacts d'urgence et la condition qui nous fait arrêter immédiatement.
Cartographier
Recenser ce qui est réellement exposé. La plupart des surprises utiles arrivent ici, avant toute exploitation.
Tester et enchaîner
Vérifier chaque piste à la main et la suivre aussi loin que le périmètre l'autorise — un constat n'est réel qu'une fois démontré.
Rapporter et débriefer
Descriptions reproductibles, parcours en direct avec vos ingénieurs, et accord sur ce qui est corrigé en premier.
Livrables
Ce qui est sur la table à la fin.
Constats reproductibles
Chacun avec les étapes exactes, le composant touché, le résultat observé et l'impact métier.
Récit d'attaque
Les chemins qui ont fonctionné, racontés de bout en bout, pour que la correction vise la route et pas seulement la dernière étape.
Notes de détection
Ce que votre supervision a vu de nos actions, et ce qu'elle n'a pas vu — souvent la moitié la plus utile.
Traitement
Ce que deviennent nos trouvailles.
Chiffré de bout en bout
Constats, preuves et rapports sont chiffrés au repos et en transit, et échangés par un canal que vous approuvez.
Supprimé à échéance
Données de test et preuves sont détruites à une date convenue après la remise. La durée de conservation figure au contrat.
Jamais une référence
Nous ne citons pas de clients, ne publions pas de constats et ne réutilisons pas votre environnement en exemple sans accord écrit.
Prêt à faire éprouver vos hypothèses ?
Envoyez le système, la frontière qui vous importe et la date à laquelle le rapport doit être là. Périmètre, charge et règles d'engagement sont convenus par écrit avant que quoi que ce soit soit touché.