Cybersécurité · Sécurité offensive
Sécurité offensive. Trouver la faille avant eux.
Un attaquant n’a besoin que d’une seule porte d’entrée. Nous la cherchons avant lui, comme il le ferait, dans vos applications, vos réseaux, votre cloud, auprès de vos équipes et dans vos bâtiments.
Vous obtenez une vision claire de ce qui est exploitable, de ce que cela vous coûterait et de ce qu’il faut corriger en priorité, et nous refaisons le test une fois la correction apportée.
Ce qui est inclus. Adapté à vos besoins.
Tests d’intrusion
Applications web, API, réseaux internes et externes, et environnements cloud sur Azure, AWS et GCP.
Tests d’applications mobiles
Tests approfondis des applications iOS et Android et des back-ends qui les servent.
Opérations red team
Une simulation d’attaque à périmètre complet, qui teste ensemble vos équipes, vos processus et vos technologies.
Émulation d’adversaires
Une validation continue face aux tactiques et techniques d’acteurs malveillants connus.
Ingénierie sociale
Campagnes de phishing, de vishing, d’usurpation d’identité et de prétexte qui mesurent la réaction de vos équipes.
Tests physiques
Contrôles d’accès, clonage de badges et tailgating sur vos sites, selon des règles convenues.
Cartographie de la surface d’attaque
Découverte des actifs oubliés, non déclarés (shadow IT) et exposés, avant que les attaquants ne les trouvent.
Gestion de bug bounty
Tri et traitement des vulnérabilités signalées par des chercheurs en sécurité externes.
Ce que vous recevez. Trois rapports et une validation.
Chaque vulnérabilité est replacée dans son contexte métier, pour que la direction, les auditeurs et les ingénieurs trouvent chacun ce dont ils ont besoin dans la même mission.
Rapport de synthèse
Le risque en termes simples, sous l’angle financier et assurantiel, pour la direction et le conseil d’administration.
Rapport technique
Chaque vulnérabilité avec son score CVSS, ses preuves, son chemin d’attaque et sa correction, pour vos ingénieurs.
Plan de remédiation
Quoi corriger et quand, par phases de 0–30, 30–90 et 90+ jours.
Retest et attestation
Nous retestons vos corrections, validons leur clôture et délivrons une attestation de fin de mission.
Déroulement
- Durée
- De quelques jours pour un test ciblé à plusieurs semaines pour une mission red team, durée confirmée dans votre proposition.
- Équipe
- Des spécialistes de la sécurité offensive, encadrés par un responsable de mission senior, votre interlocuteur unique.
- De votre part
- Un contact désigné, le périmètre et les règles d’engagement convenus, et des comptes de test ou des accès si nécessaire.
- Pendant le test
- Des points quotidiens. Les vulnérabilités critiques sont signalées dès leur découverte, pas à la fin.
Méthodologie
- OWASP
- PTES
- MITRE ATT&CK
- NIST SP 800-115
- CVSS
Questions fréquentes
Les tests vont-ils perturber nos systèmes ?
Les tests sont planifiés avec votre équipe et encadrés par des règles d’engagement convenues. Les tests à risque ont lieu pendant les fenêtres de maintenance, et nous arrêtons immédiatement si quelque chose se comporte de façon inattendue.
Quelle différence entre un test d’intrusion et un red team ?
Un test d’intrusion cherche le plus de failles possible dans un périmètre défini. Un red team poursuit un objectif, comme atteindre vos systèmes de paiement, et vérifie en chemin votre capacité à détecter l’attaque et à y répondre.
À quelle fréquence faut-il tester ?
Au moins une fois par an et après chaque changement majeur, comme une nouvelle application, une migration vers le cloud ou une acquisition. Des réglementations comme NIS2 et PCI DSS fixent leurs propres attentes.
Refaites-vous un test après nos corrections ?
Oui. Le retest fait partie de la mission et se conclut par une attestation de fin de mission une fois les corrections validées.
Pouvez-vous tester des environnements cloud et SaaS ?
Oui, y compris Azure, AWS et GCP, dans le respect des règles de test publiées par chaque fournisseur.
Parler à un spécialiste
Cadrons votre mission.
Dites-nous ce que vous voulez faire tester. Votre devis suit sous 24 heures après le premier échange.