Phases des tests d’intrusion : de la reconnaissance au rapport

Un test d’intrusion structuré suit un cycle de vie défini qui garantit une couverture complète, réduit les risques pour les systèmes de production et produit des résultats exploitables. Le framework le plus largement adopté provient du PTES (Penetration Testing Execution Standard) et s’aligne sur l’approche du NIST. Les phases sont les suivantes : Planification/Définition du périmètre, Reconnaissance, Scanning, Exploitation, Post-Exploitation et Reporting. Chaque phase s’appuie sur la précédente : vous ne pouvez pas exploiter ce que vous n’avez pas découvert et vous ne pouvez pas rendre compte de ce que vous n’avez pas documenté. Sauter des phases ou les mener trop rapidement entraîne des évaluations incomplètes et des résultats peu fiables.

La phase de planification établit les fondations juridiques et opérationnelles de la mission. Les principaux livrables comprennent : un Statement of Work (SOW) signé, qui définit les objectifs et la tarification ; un document Rules of Engagement (RoE) précisant les cibles autorisées, les plages horaires, les techniques interdites, les contacts d’urgence et les exigences relatives au traitement des données ; ainsi qu’une définition claire des critères de réussite (ce qui constitue l’atteinte de l’objectif). Le périmètre doit être défini avec précision afin d’éviter son élargissement involontaire (tester accidentellement des systèmes non autorisés) et de garantir que l’évaluation couvre les ressources les plus critiques. Tous les canaux de communication et les procédures d’escalade sont établis avant le début de toute intervention technique.

La reconnaissance passive consiste à recueillir des informations sur la cible sans interagir directement avec ses systèmes, en utilisant des sources publiques qui ne génèrent pas de journaux sur la cible. Ces sources comprennent : les enregistrements WHOIS (enregistrement du domaine et coordonnées du titulaire), les enregistrements DNS, les journaux de transparence des certificats (révélant les sous-domaines), LinkedIn (noms des employés, intitulés de poste et technologies utilisées), les offres d’emploi (révélant la pile technologique et les outils), Shodan/Censys (services accessibles depuis Internet et ports ouverts), les dépôts GitHub (code source et identifiants accidentellement publiés) et le Google dorking (recherches ciblées sur un site pour trouver des fichiers sensibles et des interfaces exposées).

La reconnaissance active consiste à interagir directement avec les systèmes cibles afin de recueillir des informations. Elle génère des journaux sur la cible et produit intrinsèquement davantage de bruit que la reconnaissance passive. Les techniques comprennent l’analyse des ports (Nmap), l’énumération des services, les tentatives de transfert de zone DNS et la récupération de bannières. La frontière entre reconnaissance et analyse est floue : la reconnaissance vise à recueillir des informations, tandis que l’analyse implique généralement l’identification des vulnérabilités. Toutefois, la reconnaissance active peut déclencher des alertes IDS/IPS et être détectée par une cible attentive à la Security. Les testeurs doivent donc équilibrer exhaustivité et discrétion selon l’objectif de la mission (tester la détection ou compromettre discrètement).

La phase d’analyse découvre systématiquement les ports ouverts, les services, les versions logicielles et les vulnérabilités connues sur les cibles incluses dans le périmètre. Cette phase utilise des outils tels que Nmap pour l’énumération des services et Nessus/OpenVAS pour l’analyse des vulnérabilités. Le testeur d’intrusion examine manuellement les résultats de l’analyse et met les constatations en corrélation : une version d’Apache identifiée par Nmap peut correspondre à des exploits connus dans la base de données des CVE. Cette phase comprend également l’examen manuel des applications Web (avec Burp Suite) et le test des mécanismes d’authentification. Le résultat est une liste hiérarchisée de chemins d’attaque potentiels à suivre pendant la phase d’exploitation.

La phase d’Exploitation tente de tirer parti des vulnérabilités identifiées afin d’obtenir un accès non autorisé, une élévation de privilèges ou d’atteindre d’autres objectifs définis. L’Exploitation doit rester strictement dans le périmètre et respecter les Rules of Engagement. Les techniques comprennent l’exploitation de vulnérabilités non corrigées (avec Metasploit ou des exploits manuels), les attaques contre les identifiants (password spraying, identifiants par défaut et force brute), les attaques d’applications Web (injection SQL et exploitation XSS) ainsi que l’ingénierie sociale si elle est autorisée. Chaque action doit être documentée avec son horodatage : ce qui a été fait, le moment où cela a été fait, le résultat obtenu et l’outil utilisé. Cette documentation constitue la base de preuves du rapport final.

La Post-Exploitation commence une fois l’accès initial obtenu et cherche à déterminer jusqu’où un attaquant pourrait étendre son accès. Les activités comprennent : l’élévation de privilèges (obtenir des privilèges d’administrateur ou root à partir d’un accès utilisateur limité), la collecte d’identifiants (extraire des hachages, des tickets ou des mots de passe en clair), le movement latéral (accéder à d’autres systèmes à l’aide des identifiants récupérés), la découverte de données (identifier les données sensibles accessibles depuis la position compromise) et l’établissement de la persistance (pour simuler un accès à long terme de type APT). L’objectif est de montrer l’impact réaliste de la compromission initiale : pas seulement qu’un système a été compromis, mais aussi ce que l’attaquant pourrait finalement atteindre.

Le pivotement utilise un hôte compromis comme relais pour atteindre des segments réseau qui seraient autrement inaccessibles au testeur d’intrusion (par exemple, un VLAN de base de données interne accessible uniquement depuis le serveur d’application). La commande route add de Metasploit et le tunneling SSH (ssh -L pour le transfert local ou ssh -D pour le proxy SOCKS) sont des mécanismes de pivotement courants. Le pivotement montre si la segmentation réseau est réellement efficace : un réseau correctement segmenté devrait empêcher un serveur DMZ compromis d’atteindre les bases de données internes, tandis qu’un réseau plat autorise librement le mouvement latéral. Les chemins de pivotement documentés dans le rapport indiquent précisément où se trouvent les lacunes de segmentation.

Une fois les tests terminés, les testeurs d’intrusion doivent procéder au nettoyage : supprimer les portes dérobées, les comptes et les outils qu’ils ont installés. Contrairement aux véritables attaquants, les testeurs d’intrusion sont tenus par les Rules of Engagement de restaurer les systèmes dans leur état antérieur au test. Les opérations de nettoyage comprennent : la suppression des comptes utilisateur créés, la suppression des fichiers déposés (charges utiles et outils), le retrait des mécanismes de persistance (abonnements WMI, tâches planifiées et clés d’exécution du registre) et la confirmation auprès du client de la disparition de tous les artefacts de test. La préservation des preuves se déroule en parallèle : conservez toutes les captures d’écran, les résultats des outils, les journaux et les notes dans un format sécurisé pour la rédaction du rapport et une éventuelle utilisation juridique.

Le rapport est le livrable ultime qui justifie la mission et guide la remédiation. Un rapport bien structuré comprend : un résumé exécutif (niveau de risque, impact métier et trois principales constatations pour la direction) ; une section consacrée aux constatations techniques (chaque constatation présentant sa gravité, sa description, les preuves, les étapes de reproduction, l’impact métier et des recommandations précises de remédiation) ; ainsi qu’une annexe contenant les résultats bruts des outils et des chronologies détaillées. Les rapports sont classifiés comme confidentiels : ils contiennent suffisamment de détails pour reproduire l’attaque. Leur remise comprend généralement une réunion de restitution durant laquelle l’équipe de test d’intrusion présente les constatations et répond aux questions du client. La qualité du reporting distingue les missions professionnelles des simples résultats d’analyse produits par des amateurs.

Security+ évalue fréquemment la distinction entre reconnaissance passive et active. La reconnaissance passive consiste à recueillir des informations auprès de sources publiques sans contacter directement les systèmes cibles : aucun journal n’est créé sur la cible. Exemples : consulter les enregistrements WHOIS, examiner LinkedIn, interroger les journaux de transparence des certificats et effectuer des recherches Shodan. La reconnaissance active consiste à interagir directement avec les systèmes cibles : analyse des ports, récupération de bannières et tentatives de transfert de zone DNS. La reconnaissance active génère des journaux et peut déclencher des alertes IDS. Dans une mission réelle, la reconnaissance passive précède la reconnaissance active afin d’établir une cartographie avant tout contact détectable avec le réseau cible.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que les tests d’intrusion suivent un cycle de vie structuré composé de la planification, de la reconnaissance, du scanning, de l’exploitation, de la post-exploitation et du reporting ; que la reconnaissance passive utilise des sources OSINT publiques sans créer de journaux côté cible, tandis que la reconnaissance active interagit directement avec les systèmes ; et que le rapport final, avec son résumé exécutif, ses constatations techniques et ses recommandations précises de remédiation, constitue le livrable essentiel qui permet d’améliorer la Security. Nous allons maintenant étudier le calcul des scores CVSS et la manière de hiérarchiser la remédiation des vulnérabilités.