Hitachi

U.S.A.

Hitachi Group Global Network

Americas

Asia

Europe

Middle East and Africa

Oceania

Close

Test d’intrusion

Test d’intrusion

Un test d’intrusion (aussi appelé « pentest ») comprend les tests d’intrusion de réseau, l’ingénierie sociale, l’évaluation d’applications, ainsi que des contrôles et des processus relatifs aux réseaux et aux applications. Ce test se déroule à la fois à l’extérieur et à l’intérieur du réseau.

Les tests d’intrusion simulent une véritable attaque contre votre infrastructure dans un environnement contrôlé. Ils permettent ainsi à nos consultants certifiés d’évaluer la capacité de votre système à empêcher une telle attaque et de vous fournir des recommandations sur la façon dont vous pouvez améliorer votre protection contre les cyberattaques, qui peuvent conduire à des intrusions, des fraudes et des interruptions de service.

Vous souhaitez effectuer un test d’intrusion? Contactez-nous:



Obtenir un devis

Tarification de test d’intrusion

Vous avez besoin d’un devis?

Pourquoi effectuer un test d’intrusion?

Nos tests d’intrusion vous aident à:

protect your information

Protéger les informations de votre entreprise &

celles de vos clients

compliance certificate

Respecter les réglementations de l’industrie &

du gouvernement

integrity and reputation

Préserver l’intégrité &

la réputation de votre organisation

Méthodologie de pentest

Nous comprenons qu’une méthodologie éprouvée est essentielle pour réussir un test d’intrusion. C’est pourquoi nos pentests sont basés sur la méthodologie PTES (Penetration Testing Execution Standard), qui établit les outils, les techniques et les éléments communs à traiter.

La méthodologie PTES repose sur 7 étapes distinctes recommandées pour chaque engagement de test d’intrusion.

Quand réaliser un test d’intrusion?

De nombreuses organisations réalisent un test d’intrusion car elles pensent être victimes de piratage et veulent mieux comprendre les menaces qui pèsent sur leurs systèmes afin de réduire les risques de nouvelles attaques. À l’inverse, une entreprise peut également adopter une approche proactive et vouloir connaître à l’avance les menaces qui pèsent sur l’organisation dans son ensemble ou qu’un nouveau système pourrait rencontrer avant son lancement.

Les scénarios les plus courants incluent les lancements d’applications, les modifications ou les mises à jour majeures et les réglementations de conformité.

Étapes d’un test d’intrusion

  1. Interactions préalables à l’engagement: Notre équipe de gestion de projet débute l’engagement du client avec une conférence téléphonique, une conférence Web ou une réunion (le « kickoff») afin d’examiner les détails logistiques et tactiques nécessaires.

 

  1. Collecte d’informations: Avant toute activité d’évaluation active avec un client, nos analystes de sécurité rassemblent toutes les informations nécessaires pour effectuer une évaluation approfondie. Selon le type d’évaluation, plusieurs approches de collecte d’informations peuvent être prises, par exemple collecte de renseignements open-source ou collecte de données internes.

 

  1. Modélisation des menaces: L’objectif de la modélisation des menaces est de comprendre l’impact des menaces techniques liées au réseau sur votre entreprise. Cet exercice de haut niveau n’est pas aussi complet qu’une évaluation exhaustive des risques de menace, mais le profil de menace qui en résulte nous aide à garantir que les tests techniques prennent en compte les menaces pouvant avoir un impact important sur vos opérations commerciales.

 

  1. Analyse des vulnérabilités: Lors de l’analyse de vulnérabilités, nous effectuons des analyses de vulnérabilité manuelles ou automatisées pour identifier les vulnérabilités dans l’environnement identifié dans la portée du mandat. Ensuite, nous effectuons un exercice de validation de balayage pour identifier les faux positifs et les éléments qui nécessitent une validation manuelle. Le trafic réseau capturé via des outils de collecte passifs est examiné afin de détecter les fuites d’informations via des protocoles en texte clair. Une fois l’environnement cartographié et les profils de périphériques individuels créés, les analystes de sécurité commencent à rechercher les vulnérabilités susceptibles de compromettre votre système ou de divulguer des informations susceptibles de compromettre un autre système.

 

  1. Exploitation: Au cours de la phase d’exploitation, nous effectuons le test d’intrusion réel et nous attaquons les systèmes si une méthode d’exploitation potentiellement viable existe. Chaque engagement étant différent, l’identification d’une méthode d’attaque exacte avant cette phase de l’engagement n’est pas possible.

 

  1. Post-exploitation: L’objectif de la phase de post-exploitation est de déterminer la valeur du ou des actifs compromis et de tenter de conserver le contrôle de la machine pour une utilisation ultérieure. Nous identifions et documentons les données sensibles, identifions les paramètres de configuration, les canaux de communication et les relations avec d’autres périphériques réseau pouvant être utilisés pour accéder au réseau et configurer ultérieurement une ou plusieurs méthodes d’accès à la machine. Les méthodes de post-exploitation comprennent l’analyse de l’infrastructure, le pillage, les cibles à haute valeur / profil et l’exfiltration des données. La phase se termine par un processus de nettoyage pour effacer toutes traces des tests d’intrusion, tels que les portes dissimulées (backdoors) ou les rootkits.

 

  1. Rapport: Un rapport de test d’intrusion détaillé est préparé par notre équipe et remis au client. Si des vulnérabilités graves sont découvertes au cours du pentest, nous fournissons un rapport intermédiaire. Voir la section « Livrables » pour plus de détails.

Nous contacter

Protégez votre entreprise dès aujourd’hui

Livrables de pentest

Le résultat final du test d’intrusion est rendu sous forme d’un rapport détaillé qui comprend tous les résultats du test ainsi que les contre-mesures et les recommandations pour sécuriser votre infrastructure informatique. Si besoin, notre équipe peut également préparer une présentation des résultats pour votre équipe TI ou votre équipe exécutive.

 

  1. Résumé exécutif: Le résumé décrit votre sécurité globale et indique les éléments nécessitant une attention immédiate.

 

  1. Revue technique: La revue technique décrit les activités réalisées pour déterminer les vulnérabilités et les résultats des activités menées lors de l’attaque de systèmes cibles, y compris les méthodologies utilisées.

 

  1. Vulnérabilités & exploits: Nous fournissons une liste détaillée des vulnérabilités découvertes ainsi que leurs exploits, répertoriés par ordre de criticité.

 

  1. Recommandations: Pour optimiser la protection des actifs identifiés dans le rapport, nous vous fournissons une série de recommandations actionnables pour renforcer votre posture de sécurité.

 

  1. Annexe: La section annexe présente généralement les résultats d’outils, les captures d’écran ou d’autres données qui aident à donner un contexte plus précis ou à clarifier les vulnérabilités détectées.

Notre Expertise

Nous sommes fiers de travailler avec une équipe de professionnels de la sécurité non seulement passionnés par la sécurité, mais également hautement qualifiés. Voici un aperçu des nombreuses certifications de sécurité de notre équipe :

* CBCP: Certified Business Continuity Professional

* CCNA: Certified Cisco Network Associate

* CCSE: Check Point 2000 – Management II

* CEH: Certified Ethical Hacker

* CGEIT: Certified in the Governance of Enterprise IT

* CISA: Certified Information Systems Auditor

* CISM: Certified Information Systems Manager

* CISSP: Certified Information Systems Security Professional

* Certifié en implémentation de COBIT5

* CRISC: Certified in Risk and Information Systems Control

* CSSLP: Certified Secure Software Lifecycle Professional

* ECIH: EC-Council Certified Incident Handling

* GCIA: GIAC Certified Intrusion Analyst

* GCIH: GIAC Certified Incident Handling

* GIAC: Global Information Assurance Certification

* GSEC: GIAC Security Essential Certification

* ISO 27001: Lead Auditor de la norme ISO pour les SGSI

* ISO20000 & ISO27001 : Professionnel certifié des normes ISO20000 & ISO27001

* OSCP: Offensive Security Certified Professional

* PCI-QSA: PCI, Qualified Security Assessor

Pourquoi la gestion de projet est importante

Le succès d’un test d’intrusion dépend de votre capacité à le gérer en tant que projet distinct. Chez Hitachi Systems Security, nous avons défini des processus et des méthodologies de gestion de projet pour assurer que votre projet de pentest soit exécuté à votre satisfaction.

Notre bureau de gestion de projets est géré par des professionnels certifiés en gestion de projet (PMP)®, qui possèdent l’expertise et l’expérience nécessaires pour gérer des projets de tests d’intrusion.

En collaboration avec nos clients, ils veillent à maintenir votre budget sur la bonne voie et dans le budget accordé, à gérer vos attentes et à garantir des livrables de qualité à la fin du projet.

Témoignages de nos clients: Étude de cas

Hitachi Systems Security - Case Study Penetration Testing Telecommunications Industry

Avantages d’un test d’intrusion

Le service de tests d’intrusion d’Hitachi Systems Security protège votre entreprise et offre de nombreux avantages, notamment:

 

  •   Gérer les vulnérabilités en utilisant de meilleurs renseignements:Comprendre les vulnérabilités de votre système en ayant un aperçu des raisons pour lesquelles elles se produisent et comment les supprimer. Analyser et classer les vulnérabilités exploitables en se basant sur leur impact potentiel et leur probabilité d’occurrence.

 

  •   Réduire les coûts associés aux pannes de réseau: Éviter les pannes de réseau et les coûts associés en identifiant et en éliminant les vulnérabilités.

 

  •   Préserver votre image de marque et la fidélité de vos clients: Les arrêts de service ou autres bévues peuvent nuire à l’image de votre organisation. Les tests d’intrusion identifient les vulnérabilités avant qu’elles ne deviennent un problème.

 

  •   Amélioration de la conformité: Nous garantissons votre conformité aux exigences des clients et des actionnaires ainsi qu’aux règlements et aux normes. Nous pouvons vous aider à respecter les principales réglementations telles que SOX, PCI, NERC / CIP, SAS70 / SSAE16, HIPAA, ISO, et plus encore.