Tests d’intrusion
Un test d’intrusion répond à une seule question : que pourrait vous faire un attaquant aujourd’hui ? Nous le découvrons avec les outils et les techniques des attaquants, dans des limites que vous approuvez par écrit.
Pour qui ?
Les organisations qui doivent connaître leur exposition réelle : avant un lancement, après un changement majeur, pour un audit ou une exigence client, ou dans le cadre d’un contrôle annuel.
Nos prestations
- Test d’intrusion externe
- Tout ce qui est accessible depuis Internet : sites web, serveurs de messagerie, passerelles VPN, accès à distance et services cloud.
- Test d’intrusion interne
- Nous partons de l’intérieur de votre réseau, comme le ferait un poste compromis ou un collaborateur malveillant, et mesurons jusqu’où nous pouvons approcher vos systèmes critiques.
- Test d’application web
- Authentification, sessions, contrôle d’accès et traitement des entrées dans vos applications web et vos API, selon le guide OWASP Web Security Testing Guide.
- Test d’application mobile
- Applications iOS et Android et les API qui les servent, selon les recommandations OWASP Mobile Application Security.
- Ingénierie sociale
- Campagnes d’hameçonnage, appels sous prétexte et tentatives d’intrusion physique montrent comment vos équipes et vos processus réagissent à la manipulation.
- Test du télétravail
- La sécurité des postes en télétravail : VPN, configuration des ordinateurs portables, outils collaboratifs et fournisseurs d’identité.
- Tests de sécurité en continu
- Au lieu d’un test par an, nous testons votre surface d’attaque externe à intervalles réguliers et signalons les nouveaux problèmes dès leur apparition.
Déroulement d’un test
Périmètre
Nous convenons par écrit des cibles, des règles et du calendrier. Rien n’est testé sans votre accord.
Reconnaissance
Nous cartographions ce qu’un attaquant peut voir : domaines, services exposés, technologies et personnes.
Exploitation
Nous tentons d’entrer avec les techniques des vrais attaquants, et nous arrêtons aux limites convenues.
Rapport
Chaque vulnérabilité est livrée avec son niveau de risque, les preuves et une correction concrète, ainsi qu’une synthèse pour la direction.
Contre-audit
Une fois les problèmes corrigés, nous testons à nouveau et confirmons que les failles sont bien fermées.
Ce que vous recevez
- Une synthèse pour la direction, en langage clair
- Un rapport technique : chaque vulnérabilité avec son niveau de risque, les preuves et une correction concrète
- Une réunion de restitution avec vos équipes
- Un rapport de contre-audit confirmant les failles corrigées
Questions fréquentes
Le test va-t-il perturber nos systèmes ?
Nous convenons à l’avance des créneaux et des limites du test, et évitons les techniques susceptibles de provoquer des interruptions, sauf accord de votre part. Vous pouvez arrêter un test à tout moment.
Combien de temps dure un test ?
Cela dépend du périmètre. Une application web demande généralement quelques jours ; un réseau interne complet, davantage. Notre proposition fixe un calendrier précis.
Boîte noire, grise ou blanche ?
Nous pratiquons les trois. La boîte grise, où nous recevons un compte utilisateur standard et une documentation de base, est généralement celle qui trouve le plus de failles dans le temps imparti.
Outils de sécurité gratuits
-
Analyseur d’en-têtes de sécurité
Notez les en-têtes de sécurité, les cookies et le certificat TLS d’un site, avec une correction par constat.
Notre serveur récupère la page -
Décodeur JWT
Décodez un JSON Web Token et repérez les erreurs de sécurité courantes, sans qu’il quitte votre navigateur.
Fonctionne dans votre navigateur -
Calculateur CVSS 3.1
Évaluez une vulnérabilité avec les métriques de base CVSS 3.1 et obtenez un vecteur à partager.
Fonctionne dans votre navigateur
Dites-nous ce que vous devez protéger
Décrivez votre environnement et vos objectifs. Nous vous répondrons par e-mail.
Nous contacterAngelForce OÜ · Tallinn, Estonie