Chapitre 1 (suite) — Méthodologie d'un Test d'Intrusion & Panorama des Menaces
⏱ ~30 min autonome · ~45 min encadré
Un hacker éthique ne s'attaque jamais à une cible au hasard. Ce chapitre présente la structure formelle d'un mandat de test d'intrusion, les phases techniques qu'un attaquant (et donc un testeur) suit dans l'ordre, un cadre de référence pour penser comme l'adversaire, et un tour d'horizon des acteurs de la menace actuelle.
- Distinguer les trois phases formelles d'un mandat de test d'intrusion (préparation, évaluation, conclusion).
- Différencier les tests en boîte noire, grise et blanche selon le niveau de connaissance simulé.
- Identifier les phases techniques d'une intrusion, de la reconnaissance à l'effacement des traces.
- Situer une observation de sécurité dans les sept phases de la Cyber Kill Chain.
Au-delà des techniques utilisées, un mandat de test d'intrusion professionnel suit toujours la même structure en trois temps, indépendamment de la cible :
| Phase | Contenu |
|---|---|
| Préparation | Négociation du contrat : portée, types d'attaques autorisées, personnes désignées, autorisation écrite signée (voir section précédente). |
| Évaluation | Les tests techniques proprement dits — c'est la phase où les techniques des sections suivantes (§2) sont mises en œuvre. |
| Conclusion | Rédaction du rapport final : constats, preuves de concept, et généralement des recommandations de correction (voir aussi le chapitre de synthèse, qui détaille la structure d'un rapport professionnel). |
Types de tests selon le niveau de connaissance
Pour que le test reflète fidèlement une attaque réelle, le testeur adopte un niveau de connaissance préalable de la cible qui correspond au profil d'attaquant qu'on souhaite simuler :
| Type | Connaissance de la cible | Simule |
|---|---|---|
| Boîte noire | Aucune connaissance préalable | Un attaquant externe inconnu — le plus long et le plus coûteux, mais ignore la menace interne. |
| Boîte blanche | Connaissance complète du réseau, des systèmes et de l'infrastructure | Une menace interne avertie (administrateur mécontent, employé de confiance). |
| Boîte grise | Connaissance partielle, privilèges d'un utilisateur standard | Un initié aux accès limités — pertinent puisque la majorité des attaques réelles impliquent, d'une façon ou d'une autre, un point d'entrée interne. |
Une fois le mandat en phase d'évaluation, l'intrusion elle-même suit une progression logique. Chaque phase sera détaillée dans son propre chapitre — l'objectif ici est de voir comment elles s'enchaînent.
- Reconnaissance / empreinte (footprinting) — collecte d'information sur la cible, passive ou active (Chapitre 2).
- Scanning — identification des hôtes actifs, ports ouverts et services (Chapitre 3).
- Énumération — extraction active d'information via des connexions établies (Chapitre 4).
- Analyse de vulnérabilités — identification des faiblesses exploitables (Chapitre 5).
- Obtention d'accès — exploitation effective d'une vulnérabilité pour entrer dans le système (Chapitre 6).
- Escalade de privilèges — passage d'un accès limité à un accès administrateur/root.
- Maintien de l'accès — mise en place de portes dérobées pour un retour ultérieur.
- Effacement des traces — dissimulation ou falsification des journaux d'activité.
Dans la réalité, ces phases se chevauchent constamment et un attaquant opportuniste ne suit pas ce fil à la lettre — il prend le chemin le plus court vers son objectif. Un bon testeur, lui, documente systématiquement chaque phase même quand un raccourci technique existe, parce que c'est l'exhaustivité de cette documentation qui constitue la valeur du mandat pour le client. Deuxième point tout aussi important : un testeur n'efface jamais réellement les journaux dans un vrai mandat — cette phase se limite à documenter qu'elle aurait été possible, sauf clause contraire explicite dans les règles d'engagement.
Développé par Lockheed Martin, ce modèle décrit les étapes qu'un attaquant doit accomplir pour mener une intrusion à son terme. Son intérêt : connaître ces étapes permet d'anticiper où et comment intervenir pour briser la chaîne — il suffit d'interrompre une seule phase pour faire échouer toute l'attaque.
| # | Phase | Description |
|---|---|---|
| 1 | Reconnaissance | Collecte d'information sur la cible, identification de vulnérabilités, préparation de la plateforme d'attaque. |
| 2 | Armement | Création d'une charge malveillante exploitant les faiblesses découvertes en phase 1. |
| 3 | Livraison | Transmission de la charge à la cible (courriel, clé USB, site web compromis...). |
| 4 | Exploitation | Exécution du code livré sur le système cible. |
| 5 | Installation | Mise en place de l'application malveillante de façon persistante. |
| 6 | Commandement et contrôle (C2) | Établissement d'un canal de communication entre l'attaquant et le système compromis. |
| 7 | Actions sur objectifs | Réalisation du but final : exfiltration de données, sabotage, pivot vers d'autres systèmes. |
Un concept complémentaire utile : les TTP (Tactiques, Techniques et Procédures) désignent la « signature » comportementale propre à un attaquant ou groupe d'attaquants — sa façon caractéristique d'opérer. On la reconnaît notamment par des indicateurs de compromission (IOC), qui se déclinent en quatre types :
- Indicateurs courriel : expéditeurs, objets, types de pièces jointes.
- Indicateurs réseau : URL, noms de domaine, adresses IP.
- Indicateurs d'hôte : noms de fichiers, empreintes (hash), clés de registre.
- Indicateurs comportementaux : séquences d'actions typiques d'une attaque en cours.
Pour aller plus loin sur la classification systématique des tactiques et techniques d'attaque, voir l'annexe MITRE ATT&CK — un cadre gratuit et largement utilisé dans l'industrie pour cartographier le comportement des attaquants au-delà du seul modèle Kill Chain.
Le mandat se conclut toujours par un livrable écrit — sans rapport, le travail technique n'a aucune valeur pour le client. Deux éléments composent typiquement ce livrable :
- Rapport détaillé : constats classés par sévérité, preuves (captures d'écran, journaux), et recommandations de correction priorisées.
- Preuve de concept : démonstration reproductible qu'une vulnérabilité est réellement exploitable — pas juste théorique — sans nécessairement inclure d'outil d'exploitation prêt à l'emploi.
Le chapitre précédent a introduit les profils d'acteurs de la menace. Voici comment ces profils et les tendances actuelles s'articulent dans le paysage réel :
| Tendance | Ce qu'il faut retenir |
|---|---|
| Rançongiciel (ransomware) | Toujours la menace la plus visible pour les organisations de toute taille ; de plus en plus opéré comme un service (RaaS) par des groupes criminels organisés plutôt que par des individus isolés. |
| Attaques de la chaîne d'approvisionnement | Compromettre un fournisseur ou un composant logiciel largement utilisé pour atteindre indirectement un grand nombre de cibles — plus difficile à détecter puisque la confiance envers le fournisseur masque le vecteur réel. |
Countdown to Zero Day (Kim Zetter) raconte l'histoire de Stuxnet, le ver informatique qui a saboté des centrifugeuses d'enrichissement nucléaire iraniennes — un cas d'école sur les attaques visant les systèmes industriels (OT), abordées au Chapitre 9. Lecture optionnelle, pas matière à quiz.