Les tests de pénétration sont depuis longtemps l'une des principales méthodes utilisées par les organisations pour tester leurs défenses contre les cyberattaques. En faisant appel à une société extérieure pour se faire passer pour un attaquant, les organisations sont en mesure d'identifier les faiblesses de leurs systèmes afin de prévenir de futures brèches. Lors d'un test de pénétration, un hacker éthique certifié (CEH) simule les techniques qu'un attaquant criminel pourrait utiliser pour tenter d'accéder aux systèmes informatiques, notamment le craquage de mots de passe, les logiciels malveillants et même l'ingénierie sociale.
Les tests de pénétration ou le piratage éthique existent depuis au moins les années 1970, lorsque l'armée américaine et la RAND Corporation ont commencé à utiliser des équipes de tigres pour tester la capacité des réseaux informatiques à résister aux attaques. Aujourd'hui, les tests de pénétration sont de plus en plus souvent des services standardisés qui comprennent un ensemble d'analyses de découverte, d'analyses de vulnérabilité et de tentatives limitées d'exploitation des vulnérabilités découvertes.
Bien que les techniques traditionnelles dominent toujours les offres du marché, les tests de pénétration adoptent aujourd'hui de plus en plus de méthodes nouvelles et améliorées pour tester les défenses, y compris les nouvelles techniques d'attaque, le red teaming, la capture du drapeau et les programmes de bug bounty.
Phases d'un test de pénétration
Les tests de pénétration restent l'une des principales méthodes pour simuler une cyberattaque et tester les défenses. Un test de pénétration ne s'arrête pas à la simple découverte de vulnérabilités, comme le ferait une analyse de vulnérabilité. Il passe à l'étape suivante, qui consiste à exploiter activement les vulnérabilités pour simuler une attaque réelle.
Les tests de pénétration comprennent généralement les phases suivantes :
- Reconnaissance : Les testeurs ont recours à des recherches sur Internet, à l'ingénierie sociale, à des requêtes DNS et à un balayage non intrusif du réseau pour cartographier les systèmes et les réseaux de l'organisation, en identifiant éventuellement des cibles à explorer plus avant.
- Détection des vulnérabilités : Les testeurs utilisent des analyses automatisées des vulnérabilités et des tests manuels pour identifier les ports et les services ouverts, les applications et les systèmes d'exploitation vulnérables, ainsi que les configurations de réseau faibles qui pourraient être vulnérables à l'exploitation.
- Tentative d'exploitation : Les testeurs tentent d'obtenir un accès en exploitant les vulnérabilités découvertes. Cela peut inclure l'exploitation de vulnérabilités d'exploitation de code à distance comme MS17, qui permet aux attaquants d'obtenir un accès administratif aux systèmes vulnérables.
- Rapport et remédiation : Les testeurs remettent un rapport sur leurs progrès au cours du test, en identifiant les vulnérabilités découvertes, les violations réussies et les résultats de ces violations, y compris les données sensibles qui ont été consultées, afin que l'organisation puisse effectuer les mises à jour et les correctifs appropriés.
Les attaquants progressent à travers ces phases sur une période de quelques jours à quelques semaines afin de simuler une attaque et de produire des données de découverte significatives pour l'entreprise cible.
Les cinq principaux avantages d'un test de pénétration
Les tests de pénétration présentent les avantages suivants :
- Les tests de pénétration aident les organisations à identifier les vulnérabilités à haut risque qui sont souvent difficiles ou impossibles à détecter par une analyse automatisée du réseau ou de l'application. Les tests de pénétration sont l'un des seuls types de tests qui permettent d'évaluer de manière réaliste le risque réel pour les systèmes. L'analyse des vulnérabilités peut aider à trouver certaines faiblesses, mais un pirate éthique a accès à des réseaux et à des systèmes qui peuvent ne pas être compatibles avec l'analyse, et peut utiliser un processus manuel et méthodique pour vérifier l'exploitabilité réelle des faiblesses.
- Les tests de pénétration sont un moyen d'évaluer la capacité des défenseurs à détecter les attaques et à y répondre avec succès. Un élément fréquent d'un test consiste à évaluer la capacité des outils et du personnel de défense à répondre aux attaques. La valeur réelle d'outils tels que les antivirus, les systèmes de détection des intrusions et les pare-feu devient évidente lorsque les organisations les voient arrêter les logiciels malveillants et les attaquants (ou ne pas le faire). La capacité des défenseurs à analyser les alertes et les journaux pour détecter l'attaque en cours permet également d'évaluer le personnel défensif en place.
- Les tests fournissent des preuves aux dirigeants de l'organisation pour soutenir l'augmentation des investissements dans les initiatives, le personnel et la technologie du programme de sécurité. De nombreuses organisations utilisent les tests de pénétration pour évaluer l'efficacité de leurs investissements en matière de sécurité et leur rentabilité en tant qu'organisation de sécurité informatique. Elles évaluent soit une fois l'initiative achevée et la force défensive d'un nouveau système, soit avant un nouveau projet afin de justifier les dépenses budgétaires.
- Les tests aident les organisations à prévenir d'éventuels incidents futurs. En identifiant les vulnérabilités avant qu'elles ne soient exploitées par les attaquants, les tests peuvent aider les organisations à prévenir les violations potentielles. Comme nous l'avons déjà mentionné, les scanners de vulnérabilité ne sont pas conçus pour découvrir des faiblesses autres que des vulnérabilités logicielles. En réagissant aux résultats des tests de pénétration, les organisations peuvent améliorer leur position globale en matière de cybersécurité. En général, les tests d'intrusion permettent de trouver rapidement les faiblesses les plus faciles à corriger, mais qui permettent aux attaquants d'accéder facilement à l'environnement.
- Les tests de pénétration aident les organisations à respecter leurs exigences de conformité, notamment la norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS), Sarbanes-Oxley, HIPPA, 201 CMR 17.00. Certains cadres de conformité, comme PCI, exigent explicitement un test de pénétration annuel comme activité obligatoire.
Nouveaux outils et techniques
Alors que les tests de pénétration traditionnels font généralement appel à des outils similaires utilisés depuis de nombreuses années, les outils sont régulièrement mis à jour pour cibler les nouvelles vulnérabilités et les mauvaises configurations des systèmes. Voici quelques-uns des outils les plus populaires aujourd'hui :
- Outils d'analyse des applications web : les testeurs utilisent fréquemment des outils tels que Netsparker, OWASP Zed Attack Proxy et Burp Suite Scanner pour analyser les applications web et découvrir les vulnérabilités. Ces outils sont capables de tester les attaques par injection et d'autres vulnérabilités fréquemment trouvées dans les applications web qui ouvrent les organisations à des attaques depuis l'Internet.
- Balayage de découverte : les tests de pénétration commencent souvent leur reconnaissance par des balayages de ports furtifs à l'aide d'outils tels que nmap et Advanced Port Scanner pour identifier les ports et les protocoles qui sont ouverts et potentiellement vulnérables à une attaque.
- Analyse du trafic réseau : les testeurs utilisent souvent des outils d'analyse du trafic pour intercepter les informations d'identification ou exploiter les faiblesses potentielles du réseau. Wireshark est un outil populaire pour intercepter et analyser les paquets réseau. Certains attaquants ciblent les vulnérabilités des réseaux sans fil avec des outils comme Aircrack-NG pour tenter d'y accéder. D'autres outils comme Impacket peuvent aider à cibler et à exploiter les vulnérabilités exposées par des protocoles de trafic réseau faibles.
- Exploitation : Les testeurs utilisent souvent Metasploit, Empire et d'autres outils pour créer des charges utiles malveillantes et exploiter les vulnérabilités découvertes au cours des phases précédentes de l'attaque.
L'équipe rouge
Les organisations disposant de défenses plus avancées se tournent de plus en plus vers le red teaming pour simuler des attaques sur leurs cyber-systèmes. Un exercice de red teaming est plus approfondi et plus étendu qu'un test de pénétration. Les équipes rouges sont chargées de simuler des cyberattaques plus approfondies qu'un test de pénétration, mais sans la portée ou les délais de ce dernier. Les acteurs défensifs ne sont généralement pas informés de l'exercice de l'équipe rouge. Les équipes rouges peuvent comprendre des spécialistes de la reconnaissance et des atteintes physiques, des experts en hameçonnage et des testeurs de pénétration traditionnels compétents en matière de communication et d'informatique.
Capturer le drapeau
Certaines organisations choisissent de transformer leur test de pénétration en une sorte de compétition, en plaçant un "drapeau" (généralement un fichier sensible) dans un endroit sécurisé de leur réseau. Les testeurs de pénétration attaquants ont pour mission d'accéder à ce fichier ou de "capturer le drapeau" par tous les moyens possibles. Une "équipe bleue" de défense, généralement le personnel de réponse aux incidents de l'organisation, est évaluée pendant l'attaque simulée, en testant sa capacité à détecter l'attaquant et à y répondre. Ce type de test de pénétration "capture the flag" permet aux entreprises de tester leur capacité défensive de manière plus réaliste, en mettant l'accent sur la protection des données sensibles plutôt que sur l'ensemble du réseau.
Bug Bounty
Les programmes de Bug Bounty sont un autre moyen de plus en plus populaire pour les organisations de tester leurs cyberdéfenses. Des sites comme Bugcrowd et HackerOne permettent aux attaquants potentiels de signaler les failles découvertes en échange d'une récompense. Les organisations utilisent ces programmes pour offrir une compensation et une reconnaissance aux hackers "white hat" qui signalent des bogues, des exploits ou des vulnérabilités sur leurs systèmes, ce qui permet à l'organisation de les corriger avant qu'ils ne soient exploités par un attaquant malveillant. De grandes entreprises comme General Motors, Microsoft et HP offrent de 10 000 à 100 000 dollars par découverte vérifiable signalée. Les grandes organisations sont en mesure de lancer leurs propres programmes, et les petites entreprises peuvent faire appel à des fournisseurs de services de collecte de bogues tels que Bugcrowd ou Synack pour lancer un programme pour leur site web ou leurs applications.
Conclusion
Les tests de pénétration restent un moyen essentiel pour les organisations de tester leurs cyberdéfenses. Si le test de pénétration traditionnel reste important, certaines entreprises utilisent désormais de nouveaux outils et de nouvelles techniques, des exercices en équipe rouge plus avancés, des concours de capture du drapeau et des tests continus via des programmes de primes aux bugs pour tester leur capacité défensive. Quoi qu'il en soit, le fait qu'un hacker éthique, un véritable professionnel de la cybersécurité, s'introduise dans votre système au lieu d'une attaque légitime, permet de renforcer les faiblesses de la défense avant qu'un hacker malveillant ne prenne votre organisation pour cible.
Pour discuter de la maturité de votre environnement en matière de sécurité, contactez SecureOps dès aujourd'hui.