Planification & Réunion
La planification (ou réunion de lancement) est une étape cruciale d'un pentest grey box. Elle permet de s'assurer que le pentester comprend les objectifs du client, qu'il dispose des informations nécessaires pour mener les tests et qu'il respecte les restrictions du client.
La réunion de lancement doit couvrir les éléments suivants :
Objectifs du pentest Grey Box
Le pentester doit comprendre les objectifs du client pour le pentest. Ces objectifs peuvent inclure l'identification des vulnérabilités, la conformité à une norme de sécurité ou la préparation à une cyberattaque. Le pentester doit poser des questions au client pour clarifier les objectifs du pentest et s'assurer qu'il les comprend.
Informations sur la cible
Le pentester doit recevoir des informations sur la cible, telles que la topologie du réseau, les systèmes et les applications en cours d'exécution, et les données sensibles. Ces informations sont essentielles pour le pentester pour mener des tests efficaces. Le client doit fournir au pentester toutes les informations qu'il peut partager.
Plan de test
Le pentester doit présenter son plan de test au client. Ce plan doit décrire les techniques et les outils qui seront utilisés pour les tests. Le pentester doit expliquer au client pourquoi il a choisi ces techniques et outils.
Restrictions du pentest
Le client peut imposer des restrictions au pentest. Ces restrictions peuvent inclure l'interdiction de tester certains systèmes ou applications ou l'utilisation de certaines techniques. Le pentester doit discuter de ces restrictions avec le client et s'assurer qu'il les comprend.
Reconnaissance & Collecte d’informations
La phase de reconnaissance est une étape cruciale d'un pentest grey box. Elle permet au pentester de comprendre la cible et d'identifier les vulnérabilités potentielles.
En collectant des informations sur la cible, l’auditeur peut améliorer l'efficacité des tests d'intrusion et identifier un plus grand nombre de vulnérabilités potentielles.
Objectifs de la phase de reconnaissance
Les objectifs de la phase de reconnaissance sont :
- Comprendre la cible : le pentester doit comprendre la topologie du réseau, les systèmes et les applications en cours d'exécution, les données sensibles, les politiques de sécurité, etc.
- Identifier les actifs critiques : le pentester doit identifier les systèmes et les applications les plus importants pour la cible, ainsi que les données les plus sensibles.
- Identifier les vulnérabilités potentielles : le pentester doit identifier les vulnérabilités connues des systèmes et des applications en cours d'exécution sur la cible, ainsi que les vulnérabilités potentielles que l'ingénierie sociale pourrait exploiter.
- Planifier les tests d'intrusion : les informations recueillies au cours de la phase de reconnaissance permettent au pentester de planifier les tests d'intrusion de manière efficace, en ciblant les systèmes et les applications les plus vulnérables.
Techniques de reconnaissance
Le pentester peut utiliser une variété de techniques pour recueillir des informations sur la cible, telles que :
- Recherche en ligne : Recherche d’informations sur la cible sur Internet, notamment des articles de presse, des profils sociaux et des sites Web.
- Scan de ports : Utilisation d’un scanner de ports pour identifier les ports ouverts sur les systèmes de la cible.
- Recherche de vulnérabilités connues : Utilisation d’une base de données de vulnérabilités connues pour identifier les vulnérabilités présentes sur la cible.
- Ingénierie sociale : Utilisation de techniques d'ingénierie sociale pour obtenir des informations sensibles auprès des utilisateurs de la cible.
- Analyse du trafic réseau : Analyse du trafic réseau de la cible pour identifier les systèmes et les applications en cours d'exécution, ainsi que les ports ouverts.
- Analyse du code source : Analyse du code source des applications Web de la cible pour identifier les vulnérabilités potentielles.
- Analyse des journaux d'audit : Analyse des journaux d'audit de la cible pour identifier les activités suspectes.
Exploitation
La phase d'exploitation d'un pentest grey box est la phase au cours de laquelle l’auditeur tente d'exploiter les vulnérabilités qu'il a identifiées lors de la phase de reconnaissance.
Cette phase est la plus importante du test d'intrusion, car elle permet de déterminer si les vulnérabilités sont effectivement exploitables et si elles peuvent être utilisées pour compromettre la cible.
Lors de la phase d'exploitation, le pentester utilise une variété de techniques pour exploiter les vulnérabilités, notamment :
- Exploits : Les exploits sont des programmes ou scripts qui exploitent une vulnérabilité spécifique.
- Techniques manuelles : L’auditeur peut également exploiter une vulnérabilité de manière manuelle, en utilisant des connaissances techniques et des outils spécifiques.
Le pentester s'efforcera de compromettre la cible à différents niveaux, de l'extérieur du réseau jusqu'à l'intérieur du système d'exploitation. Il s'efforcera également de maximiser les privilèges obtenus, afin de pouvoir accéder à davantage de ressources et d'effectuer des actions plus importantes.
À l'issue de la phase d'exploitation, le pentester doit être en mesure de fournir un rapport d'audit détaillé, qui répertorie les vulnérabilités exploitées, les techniques utilisées, les privilèges obtenus et les actions effectuées.
Exemples de techniques d'exploitation
- Exploitation d'une vulnérabilité de configuration : Un auditeur pourrait exploiter une vulnérabilité de configuration d'un pare-feu pour accéder à un réseau interne, comme par exemple l'utilisation d'un mot de passe par défaut pour le compte d'administrateur du pare-feu.
- Exploitation d'une vulnérabilité logicielle : Un pentester exploite une vulnérabilité dans une application web pour prendre le contrôle d'un compte utilisateur, telle qu’une injection SQL, qui permet à un attaquant d'exécuter du code sur le serveur web.
- Exploitation d'une vulnérabilité matérielle : Un expert pourrait exploiter une vulnérabilité dans un routeur pour accéder à un réseau sans fil. Une vulnérabilité matérielle courante est une vulnérabilité de mémoire tampon, qui permet à un attaquant d'exécuter du code sur le routeur.
Élaboration
La phase d'exploitation d'un pentest grey box est une phase complexe et délicate. Le pentester doit faire preuve de créativité et de persévérance pour trouver des moyens d'exploiter les vulnérabilités. Il doit également être prudent pour ne pas provoquer de dommages irréversibles à la cible.
La phase d'exploitation d'un pentest grey box est une phase complexe et délicate. Le pentester doit faire preuve de créativité et de persévérance pour trouver des moyens d'exploiter les vulnérabilités. Il doit également être prudent pour ne pas provoquer de dommages irréversibles à la cible.
- Avoir une bonne compréhension des vulnérabilités qu'il tente d'exploiter. Il doit connaître les détails techniques de la vulnérabilité, ainsi que les techniques d'exploitation connues.
- Utiliser une variété d'outils et de techniques pour exploiter les vulnérabilités. Il ne doit pas compter uniquement sur un seul outil ou une seule technique.
- Être prudent pour ne pas provoquer de dommages irréversibles à la cible. Il doit utiliser des outils et des techniques qui sont non destructifs.
Ziwit Consultancy ServicesAudits manuels et pentests sur site ou à distance
