Test d'intrusion

Un test d'intrusion (« penetration test » ou « pentest », en anglais) est une méthode d'évaluation (« audit », en anglais) de la sécurité d'un système d'information ou d'un réseau informatique ; il est réalisé par un testeur (« pentester », en anglais). La méthode consiste généralement à analyser l'infrastructure d'un réseau informatique, afin de simuler l'attaque d'un utilisateur mal intentionné, voire d'un logiciel malveillant (« malware »). Le consultant (« pentester ») analyse alors les risques potentiels dus à une mauvaise configuration d'un système d'information, d'un défaut de configuration, de programmation informatique ou encore d'une vulnérabilité liée à la solution testée (par exemple : WannaCry, en 2017). Lors d'un test d'intrusion, le pentester adopte la position de l'attaquant potentiel (hacker). Le principal but de cette manœuvre est de trouver des vulnérabilités exploitables en vue de proposer un plan d'actions permettant d'améliorer la sécurité du système d'information plus élaboré que le précédent, afin notamment d'empêcher des pirates informatiques de compromettre les infrastructures internes d'une entreprise. La différence avec un simple audit de sécurité est la motivation pour la personne à aller jusqu'à exploiter les failles, montrant ainsi la vulnérabilité. L'exploitation n'a bien sûr pas pour but de détruire ou endommager le système, mais elle permettra de situer le degré du risque lui étant associé. L'analyse peut se réaliser selon trois cas, qui peuvent varier selon les attentes de l'entreprise : le testeur se met dans la peau d'un attaquant potentiel, et ne possède aucune information ; le testeur possède un nombre limité d'informations ( un compte) ; le testeur possède les informations dont il a besoin. Dans cette configuration (appelée « black box test » en anglais), il s'agit dans un premier temps de rechercher des informations sur l'entreprise, la personne, ou toute autre donnée pour s'assurer que la cible est bien celle que l'on tente d'infiltrer.