Le déroulé d’un Pentest Black Box
Un Pentest Black Box se déroule en 5 étapes essentielles.
Planification
La phase de planification est la première phase du Pentest Black Box. C'est une phase de définition des objectifs, des cibles et des techniques du pentest.
Le but de la phase de planification est de s'assurer que le pentest est exécuté de manière efficace et qu'il répond aux besoins de l'organisation.
Les auditeurs travaillent avec l'organisation pour définir les objectifs du pentest. Ces objectifs peuvent inclure :
- Identifier les vulnérabilités potentielles dans les systèmes et les applications de l'organisation.
- Tester la sécurité des réseaux et des infrastructures de l'organisation.
- Évaluer la sensibilisation des utilisateurs à la sécurité.
- Mesurer l'efficacité des mesures de sécurité existantes.
Une fois que les objectifs du pentest ont été définis, les auditeurs identifient les cibles du pentest. Ces cibles peuvent inclure :
- Les systèmes et les applications de l'organisation.
- Les réseaux et les infrastructures de l'organisation.
- Les utilisateurs de l'organisation.
Les auditeurs doivent sélectionner les techniques qu'ils utiliseront pour effectuer le pentest. Ces techniques peuvent inclure :
- Le scan de ports.
- L'analyse de trafic.
- L'exploitation de vulnérabilités connues.
- L'ingénierie sociale.
Les auditeurs doivent également définir un calendrier et un budget pour le pentest. Ils doivent également développer un plan de communication pour informer l'organisation des progrès du pentest et des résultats obtenus.
Collecte d’informations
La phase de collecte d’informations d'un pentest black box a pour but d'identifier les systèmes, les applications, les réseaux et les infrastructures de la cible, ainsi que les vulnérabilités potentielles.
Les auditeurs utilisent une variété de techniques pour effectuer la découverte, notamment :
Le scan de ports
Les auditeurs peuvent scanner les ports ouverts sur les systèmes de la cible pour identifier les services qui sont disponibles. Ils peuvent également utiliser des outils de scan de vulnérabilités pour identifier les vulnérabilités connues dans les systèmes de la cible.
L'analyse de trafic
Les pentesters peuvent analyser le trafic réseau de la cible pour identifier les anomalies et les activités suspectes. Cela leur permet de détecter les attaques en cours et les vulnérabilités potentielles.
L'ingénierie sociale
Les auditeurs peuvent utiliser des techniques d'ingénierie sociale pour tenter de tromper les utilisateurs de la cible et obtenir des informations sensibles. Cela leur permet d'accéder au système ou à l'application de la cible même s'il n'y a pas de vulnérabilités connues.
Les objectifs de la phase de collecte sont les suivants :
- Identifier les vulnérabilités potentielles dans les systèmes et les applications de la cible.
- Confirmer les vulnérabilités potentielles identifiées pendant la phase de reconnaissance.
- Déterminer si les vulnérabilités potentielles peuvent être exploitées.
Les résultats de cette phase sont utilisés pour planifier la phase d'exploitation, qui consiste à tester les vulnérabilités identifiées pour accéder au système ou à l'application de la cible.
Exploitation
La phase d'exploitation d'un pentest black box est une phase d'exploitation des vulnérabilités identifiées pendant la phase de découverte pour accéder au système ou à l'application de la cible.
Le but de la phase d'exploitation est de démontrer à l'organisation l'impact potentiel des vulnérabilités identifiées et de l'aider à prendre des mesures pour les corriger.
Voici quelques exemples d'activités qui peuvent être menées pendant la phase d'exploitation d'un pentest black box :
- Exploiter des vulnérabilités connues dans les systèmes de la cible pour obtenir un accès au système ou à l'application de la cible.
- Utiliser des techniques d'ingénierie sociale pour tromper les utilisateurs de la cible et obtenir des informations sensibles.
- Escalader les privilèges afin d'accéder à des zones plus sensibles du système ou à des informations plus sensibles.
- Démontrer à l'organisation l'impact potentiel des vulnérabilités identifiées en supprimant ou en modifiant des données, en installant des logiciels malveillants ou en lançant des attaques contre d'autres systèmes.
Il est important de noter que la phase d'exploitation doit être menée de manière responsable et éthique.
Les auditeurs doivent obtenir l'autorisation de l'organisation avant de lancer des attaques contre ses systèmes ou ses applications. Ils doivent également éviter d'endommager les systèmes ou les données de l'organisation.
Rapport
La phase de reporting est une phase de documentation des findings du pentest et de recommandations pour les corriger.
Le but de la phase de reporting est de fournir à l'organisation une compréhension complète des vulnérabilités identifiées et des mesures à prendre pour les corriger.
Les pentesters rédigent un rapport détaillé des findings du pentest. Ce rapport comprend une liste de toutes les vulnérabilités qui ont été identifiées, ainsi que des recommandations pour les corriger.
Le rapport peut également inclure des preuves de l'impact des vulnérabilités identifiées, telles que des captures d'écran ou des enregistrements vidéo.
La phase de reporting est une phase importante du pentest black box. Elle permet à l'organisation de prendre des mesures pour corriger les vulnérabilités identifiées et améliorer sa posture de sécurité.
Contre-Audit
Afin de valider la correction des vulnérabilités identifiées lors du Pentest Black Box, le client pourra demander un contre-audit.
Le contre-audit permet à nos experts de vérifier que les corrections ont bien été appliquées, et que la philosophie de la correction a bien été comprise par les équipes.
Les experts de Ziwit restent à disposition entre la réalisation du pentest et le contre-audit, sans frais supplémentaire, afin de conseiller le client dans les choix de correction.
Ziwit Consultancy ServicesAudits manuels et pentests sur site ou à distance
