Tests d'intrusion

Tests d'intrusion

Evaluer la robustesse des défenses de vos applicatifs face aux attaques et le niveau de Cyber-Résilience de votre organisation

Les tests d’intrusion permettent à instant T d’évaluer la résilience d’un tout ou parti de votre système d’information face à une cyberattaque. Ils ont pour objectifs de reproduire aussi fidèlement que possible les cyberattaques réelles auxquelles votre organisation est exposée.

Notre équipe d’experts dédiés à la réalisation de test d’intrusion a pour mission d’accompagner nos clients dans l’identification de vulnérabilité technique, l’évaluation de la criticité et l’émission de recommandations de remédiation.

Constitué de passionnés, notre équipe s’applique à réaliser la majeure partie des tests manuellement afin de garantir le plus haut niveau de résultats !

Wancore propose différents types de tests d’intrusion :

  • Boite noire : Tests réalisés sans informations et uniquement via un accès réseau. Exemple : Tentative d’hacking externe à l’organisation.
  • Boite grise : Allez plus loin en testant l’étanchéité de vos accès utilisateurs. Exemple : Tentative d’élévation de privilège d’un utilisateur.
  • Boite blanche : Tests réalisé avec l’ensemble des informations depuis l’intérieur du réseau. Exemple : Tentative de piratage et d’exfiltration de donnée depuis un poste utilisateur lambda.

Ces différents types de test ont pour but d’évaluer la maturité des systèmes de protection cyber face à une cyberattaque venant de l’extérieur comme de l’intérieur de votre organisation.

A l’issue de la réalisation des tests d’intrusions nos experts vous délivreront un rapport d’audit détaillant l’ensemble des tests réalisés, les failles et vulnérabilités découvertes classées par ordre de criticité et accompagnées des recommandations de remédiation et leurs indices de difficulté de correction.

Tests d’intrusion réseau et infrastructure

Tests d’intrusion réseau et infrastructure

Quel est l'objectif des tests d’intrusion systèmes et infrastructures?

    L’objectif des tests d’intrusion systèmes et infrastructures est d’évaluer la sécurité des composants de votre Système d’Informations publiquement exposés sur Internet.

Ces tests se déroulent en 3 étapes :

    • La recherche d’informations via divers canaux, afin de faciliter la réalisation d’attaques : Bases HOIS, Réseaux Sociaux, DeepWeb, DNS, …
    • La recherche de vulnérabilité via des scans de port, l’identification de systèmes sous-jacents, et l’analyse des applications Web,
    • L’exploitation des vulnérabilités et des intrusions afin de tester l’ensemble des points d’entrée du système d’informations audité.
Tests d’intrusion applicatifs

Tests d’intrusion applicatifs

Quel est l'objectif du test d’intrusion applicatifs?

    L’objectif des tests d’intrusion applicatifs est d’évaluer la sécurité de votre application grâce à la détection de vulnérabilités.

    En s’appuyant sur des méthodologies reconnues comme l’OWASP et OSSTMM, nos experts testeront votre application manuellement afin d’identifier les vulnérabilités impactant l’application :

    • Gestion des droits
    • Accès au sein de l’application,
    • Paramètre utilisateurs,
    • Formulaire ou gestion de documents, etc…

Deux types de tests complémentaires sont proposés :

    • Boîte noire: ces tests sont réalisés sans aucune information sur le fonctionnement de l’application afin de reproduite le positionnement d’un attaquant ou utilisateur malveillant.
    • Boîte grise : ces tests sont réalisés en connaissance de quelques informations sur l’application (comptes utilisateurs, matrice de droits/privilèges, documentations techniques, etc.). Le but est de simuler le comportement d’un utilisateur malveillant ayant une connaissance minimale sur l’application auditée : élévation de privilèges, accès restreint, etc..
Tests d’intrusion d’applications mobiles

Tests d’intrusion d’applications mobiles

Quel est l'objectif du test d’intrusion d’applications mobiles?

    L’objectif des tests d’intrusion d’applications mobiles est d’évaluer la sécurité des applications mobiles iOS et Android.

    Nos experts auront pour mission d’identifier les vulnérabilités affectant les applications mobiles qu’ils seraient possibles d’exploiter en cas de compromission du périphérique : vol ou perte du périphérique, accès au périphérique partagée, etc…

Lors de ces tests nos experts s’attacheront à passer en revue les axes suivants : (liste non exhaustive)

    • Stockage des informations sensibles en clair sur le périphérique
    • Gestion des permissions, utilisation du Keychain (ou KeyStore)
    • Analyse des logs / des fichiers de configuration / des bases de données
    • Sécurisation des connexions (HTTPS, « Certificate pinning »)
    • Étude des mécanismes d’authentification et d’autorisation
    • Utilisation de bibliothèques tierces vulnérables / obsolètes
    • Etude d’éventuels Web Services associés
Audit de code

Audit de code

Quel est l'objectif du test audit de code?

    L’objectif des tests audit de code est d’identifier d’éventuelles vulnérabilités dans un code source d’application, en se focalisant sur les fonctions critiques pouvant impacté la sécurité de l’application.

    Ces tests sont réalisés par nos experts certifié, en collaboration de vos développeurs, afin de mettre en perspective les risques métiers et les risques de compromission IT.

Analyses au langage de programmation :

    Une attention particulière sera porté lors des analyses au langage de programmation utilisé afin d’adapter les tests réalisés aux éventuelles particularités de ce dernier :

    • Gestion mémoire,
    • Appel de composants,
    • Optimisation d’algorithme, etc…
Audit d’architecture

Audit d’architecture

Quel est l'objectif de l'audit d’architecture?

    L’objectif de l’audit d’architecture est d’évaluer la sécurité relative au choix, au positionnement et à la mise en place des composants matériels et logiciels implémentés dans le Système d’Informations.

    En autre, l’audit de configuration permet de vérifier que l’architecture auditée est conforme avec le triptyque :

    • Confidentialité,
    • Intégrité,
    • Disponibilité.

Quel delivry?

    Nos expert s’attacheront de mettre en perspective les éléments observés avec les normes et pratiques recommandées (ISO, PCI, ITIL, ..) et applicable dans le contexte métier de l’organisation.

    Ils fourniront la liste la plus exhaustive d’améliorations du SI possibles en proposant des solution techniques et organisationnelles concrètes et applicables en l’état.

Tests d’intrusion infrastructures LAN/WIFI

Tests d’intrusion infrastructures LAN/WIFI

Quel est l'objectif du test d’intrusion infrastructures LAN/WIFI?

    L’objectif de ce test est d’évaluer la sécurité des accès sans-fil mise en place sur votre infrastructure.

Ce test se déroule en 3 étapes :

    • Recherche d’informations : méthode d’authentification, identification de points d’accès, identification des protocoles de chiffrements, etc ..
    • Identification des scénarios d’attaques : sans s’authentifier sur le réseau, nos experts proposeront des scénarios d’attaques permettant d’accéder au réseau interne de l’organisation ciblée.
    • L’exploitation des vulnérabilités et intrusions : à la suite d’une recherche passive et en s’authentifiant sur le SI client, nos experts cartographieront le plus précisément les accès aux services présents sur le SI.
Campagnes de Phishing Factices

Campagnes de Phishing Factices

Quel est l'objectif des campagnes de Phishing factices?

    Les campagnes de Phishing Factices ont pour objectif premier de sensibiliser les utilisateurs par le biais d’une simulation d’attaque réelle.

    Destinés à une partie ou l’ensemble des utilisateurs du SI de l’organisation, ces tests permettront à nos expert de réaliser une analyse fine et approfondie de la maturité de vos utilisateurs aux bonne pratique cybersécurité.

Quel delivry?

    L’ensemble des résultats obtenus seront fournis au client dans un but statistiques et de sensibilisation des collaborateurs.

Audit de configuration

Audit de configuration

Quel est l'objectif de l'audit de configuration?

    L’objectif de l’audit de configuration est d’évaluer le niveau de sécurité des éléments audités vis-à-vis des bonnes pratiques cybersécurité.

    • Normes,
    • Référentiels et exigences internes de la société,
    • Guides de configuration, etc..
Vous souhaitez avoir des informations complémentaires ?
Contactez-nous

Clients

Nos

Clients

Ils nous font confiance