2 sur 7Cybersécurité et tests d’intrusion
Des tests d’intrusion qui se terminent par des correctifs.
Nous testons vos applications web, vos API, vos applications mobiles, vos comptes infonuagiques et vos réseaux comme le ferait un véritable attaquant, avec une autorisation écrite et des limites convenues. Chaque constat est accompagné d’une preuve, de son impact sur vos affaires en langage clair, et d’un correctif que votre équipe peut livrer.
Ce que nous couvrons
Tests d’applications web, d’API et mobiles
Connexion, contrôle d’accès, logique d’affaires et failles d’injection, testés manuellement selon les guides de test de l’OWASP.
Tests de réseau externes et internes
Ce qu’un étranger peut atteindre depuis Internet, et jusqu’où quelqu’un peut aller une fois à l’intérieur.
Revues de configuration infonuagique
Des comptes AWS, Azure et Google Cloud vérifiés pour repérer le stockage exposé, les permissions risquées et les journaux manquants.
Simulations d’hameçonnage, sur entente
Des campagnes réalistes convenues par écrit avec vous, suivies de formation plutôt que de reproches.
Exercices d’équipe rouge alignés sur MITRE ATT&CK
Des attaques axées sur un objectif, qui vérifient si votre équipe détecte et réagit, pas seulement si des défenses existent.
Nouveaux tests une fois les correctifs en place
Nous confirmons que chaque correctif fonctionne et mettons le rapport à jour, pour que vous ayez des preuves pour vos clients et vos auditeurs.
Déroulement d’un mandat
Appel de cadrage
Nous convenons des cibles, des objectifs, du calendrier et des systèmes exclus.
Autorisation
Une portée et des règles d’engagement signées : périodes de test, limites de débit, personnes-ressources et conditions d’arrêt.
Tests
Des tests manuels appuyés par des outils. Les problèmes critiques vous sont signalés immédiatement, pas à la fin.
Rapport et nouveau test
Une présentation des constats à votre équipe, puis un nouveau test une fois vos correctifs en place.
Ce que vous obtenez
- Un sommaire rédigé pour la direction
- Des constats avec preuves, gravité CVSS et étapes de reproduction
- Des correctifs classés selon le risque et l’effort
- Une présentation à vos ingénieurs
- Un nouveau test et un rapport mis à jour
Méthodes
OWASP WSTG, ASVS et MASVS, PTES, MITRE ATT&CK et cotation CVSS.
Questions fréquentes
Un test d’intrusion est-il sans risque pour les systèmes en production?
Il peut l’être, avec la bonne portée. Nous convenons par écrit des cibles, du calendrier, des limites de débit et des conditions d’arrêt, et restons en contact avec votre équipe tout au long. Quand le risque est trop élevé, nous testons plutôt une copie de préproduction.
Combien de temps dure un test?
Cela dépend de la portée. Vous recevez un échéancier dans la proposition, avant que quoi que ce soit commence, et des mises à jour pendant les tests.
Vous faut-il une autorisation écrite?
Toujours. Nous testons uniquement les systèmes qui vous appartiennent ou que vous êtes autorisés à faire tester, selon une portée et des règles d’engagement signées.
Contact
Dites-nous ce que vous voulez faire tester.
Quelques lignes suffisent pour commencer. Nous vous répondrons avec des questions ou un moment pour en parler.