Sommaire
Comprendre les étapes structurées d'un test d'intrusion, le cadre légal indispensable, et la différence avec une simple utilisation d'outils d'attaque.
🎯 Objectifs de la fiche
- Cadre légal : l'autorisation avant tout — Sans accord écrit, c'est une infraction pénale
- Les types de pentest — Boîte noire, grise, blanche
- Les 5 grandes phases d'un test d'intrusion — Reconnaissance, scan, exploitation, post-exploitation, rapport
- Le rapport de pentest — Ce qui distingue un bon rapport d'une simple liste d'outils
- Lien avec les ateliers cybersécurité déjà réalisés — nmap, Wireshark, Metasploit replacés dans une démarche complète
Prérequis
Avoir réalisé les ateliers cybersécurité de base (nmap/nikto, OWASP/DVWA, ARP, Metasploit) et connaître les notions de menace/vulnérabilité/risque (fiche cybersécurité défensive).
1. Cadre légal : l'autorisation avant tout
Tester l'intrusion dans un système sans autorisation explicite et écrite du propriétaire constitue une infraction pénale en France, quelle que soit l'intention (même « pédagogique » ou « pour aider »). Un test d'intrusion professionnel commence toujours par un document d'autorisation précisant le périmètre exact testé, les dates, et les limites à ne pas dépasser.
2. Les types de pentest
| Type | Connaissance initiale du système | Réalisme |
|---|---|---|
| Boîte noire (black box) | Aucune information fournie à l'avance | Proche d'une attaque externe réelle |
| Boîte grise (grey box) | Informations partielles (ex: un compte utilisateur standard) | Proche d'une menace interne ou d'un compte compromis |
| Boîte blanche (white box) | Accès complet (code source, schémas réseau) | Audit approfondi, exhaustif |
3. Les 5 grandes phases d'un test d'intrusion
Un pentest structuré suit une méthodologie reproductible, bien au-delà du simple lancement d'outils au hasard.
| Phase | Objectif | Outils déjà vus en atelier |
|---|---|---|
| 1. Reconnaissance | Collecter des informations sur la cible (passive et active) | nmap, recherche OSINT |
| 2. Scan et énumération | Identifier les services, versions, vulnérabilités potentielles | nmap, nikto |
| 3. Exploitation | Tenter d'exploiter une vulnérabilité identifiée | Metasploit, DVWA |
| 4. Post-exploitation | Évaluer ce qu'un accès obtenu permettrait réellement (pivoting, élévation de privilèges) | Analyse manuelle, Wireshark |
| 5. Rapport | Documenter, hiérarchiser les risques, recommander des corrections | Aucun outil — rédaction structurée |
4. Le rapport de pentest
Ce qui distingue un test d'intrusion professionnel d'un simple exercice technique, c'est la qualité du rapport final. Un bon rapport ne se limite pas à lister les vulnérabilités trouvées : il les hiérarchise par criticité réelle, explique l'impact métier concret, et propose des recommandations correctives priorisées.
| Élément du rapport | Contenu attendu |
|---|---|
| Synthèse exécutive | Résumé non technique pour la direction : risque global, urgence |
| Détail technique par vulnérabilité | Description, preuve de concept, criticité (ex: score CVSS) |
| Impact métier | Ce que cette vulnérabilité permettrait concrètement à un attaquant |
| Recommandations priorisées | Quoi corriger en premier, et pourquoi |
5. Lien avec les ateliers cybersécurité déjà réalisés
Les ateliers de cybersécurité (nmap/nikto, OWASP/DVWA, bettercap/ARP, Metasploit) couvrent chacun une phase précise de cette méthodologie. Cette fiche les relie dans une démarche d'ensemble cohérente, plutôt que comme des outils isolés.
Que faut-il obligatoirement obtenir avant de réaliser un test d'intrusion ?
✅ Réponse : Une autorisation écrite explicite précisant le périmètre testé
Quel type de pentest correspond à une connaissance complète du système (code source, schémas) ?
✅ Réponse : Boîte blanche
Quelle phase d'un pentest vise à évaluer ce qu'un accès obtenu permettrait réellement ?
✅ Réponse : Post-exploitation
Qu'est-ce qui distingue principalement un test d'intrusion professionnel d'un simple exercice technique ?
✅ Réponse : La qualité et la structuration du rapport final
Pourquoi mettre en perspective l'impact métier d'une vulnérabilité, même techniquement critique ?
✅ Réponse : Parce qu'une vulnérabilité critique sur un système isolé peut avoir un impact réel faible
- ANSSI — Guide relatif aux tests d'intrusion — https://www.ssi.gouv.fr/
- OWASP Testing Guide
- Légifrance — Article 323-1 du Code pénal (accès frauduleux à un système) — https://www.legifrance.gouv.fr/