Chapitre 13 — Synthèse : Anatomie d'un Test d'Intrusion Complet

⏱ ~30 min autonome · ~50 min encadré

Chaque chapitre de ce cours a isolé une phase ou un domaine pour mieux l'expliquer. Ce dernier chapitre fait l'inverse : il recompose l'ensemble en un seul fil narratif, à travers un scénario fictif mais réaliste, pour montrer comment tout s'articule dans un mandat réel — et referme la boucle ouverte au Chapitre 1 avec la Cyber Kill Chain.

Retracer l'enchaînement complet des phases d'un test d'intrusion à travers un scénario unique.
Faire correspondre chaque étape du scénario aux sept phases de la Cyber Kill Chain.
Décrire la structure attendue d'un rapport de test d'intrusion professionnel.

Mise en contexte

Le scénario suivant est entièrement fictif — inspiré du type d'organisation et de contraintes rencontrées au Québec, sans reproduire un cas réel précis, pour rester pédagogiquement utile sans aucun risque de confusion avec un incident documenté.

Le mandat : une PME manufacturière québécoise d'une centaine d'employés, avec un site web public, un réseau de bureau classique, et une petite production connectée (quelques capteurs IoT de suivi de chaîne de montage). La direction, échaudée par les incidents médiatisés touchant d'autres organisations québécoises ces dernières années, mandate un test d'intrusion en boîte grise (voir Chapitre 1) : l'équipe reçoit un compte employé standard, sans privilège particulier, pour simuler une menace interne réaliste.

Anatomie complète du test

1. Préparation

Avant toute action technique, l'autorisation écrite est signée, la portée précise le réseau de bureau et le site web comme cibles, en excluant explicitement les capteurs IoT de production (jugés trop critiques pour cette première itération — voir Chapitre 1). Les règles d'engagement interdisent formellement toute attaque par déni de service.

2. Reconnaissance & OSINT

L'équipe commence par une reconnaissance entièrement passive (Chapitre 2) : le site web révèle, via une offre d'emploi publique, l'utilisation d'un système de messagerie infonuagique précis. Les enregistrements DNS confirment ce fournisseur. Une recherche par google dorking révèle un document PDF interne indexé par erreur, dont les métadonnées exposent un nom d'utilisateur réseau selon un format prévisible (prénom.nom).

3. Scanning & énumération

Le scan (Chapitre 3) du réseau de bureau, autorisé par le compte employé fourni, révèle un serveur de fichiers interne avec une version de service vieille de plusieurs années. L'énumération (Chapitre 4) via ce même service expose une liste de partages réseau accessibles, incluant un dossier de sauvegardes anciennes mal restreint.

4. Analyse de vulnérabilités

Une CVE connue (Chapitre 5), de sévérité élevée, correspond exactement à la version du service de fichiers identifiée. L'équipe applique aussi une réflexion STRIDE rapide sur le formulaire de connexion du site web public, révélant l'absence de limitation du nombre de tentatives de connexion.

5. Obtention d'accès & escalade

En combinant le nom d'utilisateur déduit des métadonnées et une attaque par dictionnaire raisonnable sur le formulaire de connexion sans limitation de tentatives, l'équipe obtient un accès. Depuis ce compte, la vulnérabilité du service de fichiers (Chapitre 6) permet une escalade de privilèges verticale vers un accès administrateur local sur le serveur concerné.

6. Sécurité web, sans-fil et cloud

En parallèle, une revue du site web public (Chapitre 8) confirme qu'un formulaire de contact est vulnérable à une injection SQL de type aveugle. Le réseau Wi-Fi invité (Chapitre 9) utilise encore WPA2 avec une phrase de passe courte, capturable et cassable hors ligne. La messagerie infonuagique identifiée en reconnaissance présente une configuration de permissions excessive (Chapitre 10), découverte lors de l'exercice de couverture initial.

7. Maintien de l'accès & effacement (documentation uniquement)

Conformément aux règles d'engagement et au principe de « ne pas causer de tort » (Chapitre 1), l'équipe documente qu'un maintien d'accès et un effacement des traces auraient été possibles à ce stade, sans jamais les exécuter réellement.

Retour sur la Cyber Kill Chain

Le scénario complet, replacé dans le modèle vu au Chapitre 1 :

Phase Kill Chain	Élément du scénario
1. Reconnaissance	Offre d'emploi, DNS, métadonnées de document
2. Armement	Préparation de la liste de mots de passe adaptée au format identifié
3. Livraison	Soumission des tentatives au formulaire de connexion
4. Exploitation	Authentification réussie + exploitation de la CVE du service de fichiers
5. Installation	(Documentée uniquement — non exécutée, voir ci-dessus)
6. Commandement et contrôle	(Documentée uniquement)
7. Actions sur objectifs	Accès au dossier de sauvegardes, démonstration de l'impact potentiel

Mémorisez ! Un seul maillon rompu (par exemple, une limitation du nombre de tentatives de connexion sur le formulaire web) aurait suffi à interrompre toute cette chaîne bien avant l'obtention d'accès — exactement l'argument central du modèle vu au Chapitre 1.

Rédaction du rapport final

Un rapport professionnel, tel qu'introduit au Chapitre 1, structure typiquement ces constats ainsi :

Résumé exécutif — une à deux pages, sans jargon technique, destinées à la direction : impact global, priorités de correction, niveau de risque général observé.
Méthodologie et portée — rappel de ce qui a été testé, comment, et dans quelles limites convenues.
Constats détaillés — chaque vulnérabilité, classée par sévérité (voir CVSS, Chapitre 5), avec preuve de concept, impact potentiel, et recommandation de correction précise.
Annexes techniques — captures d'écran, extraits de journaux, détails de configuration pertinents pour l'équipe technique chargée des correctifs.

Sur le terrain

Un rapport qui ne fait qu'énumérer des failles sans les prioriser par impact réel sur l'organisation rend un mauvais service au client — la valeur d'un testeur d'intrusion expérimenté se mesure autant à la clarté et à la priorisation de son rapport qu'à sa capacité technique à trouver les failles elles-mêmes.

Ceci conclut le parcours principal du cours. Pour approfondir des sujets précis, consultez les annexes (MITRE ATT&CK, OWASP Top 10, Ingénierie sociale, Sécurité cloud), la bibliographie, ou testez l'ensemble de vos connaissances avec l'auto-évaluation finale.

Quiz — Synthèse

1. Pourquoi les capteurs IoT de production sont-ils explicitement exclus de la portée du mandat dans le scénario ?

Ils n'existent pas réellement dans l'entreprise Ils sont jugés trop critiques pour cette première itération de test La loi interdit de les tester Ils ne présentent aucun risque de sécurité

L'exclusion de systèmes jugés trop critiques est une décision de portée typique, discutée en phase de préparation.

2. Quel type de test (boîte noire/grise/blanche) est utilisé dans le scénario de ce chapitre ?

Boîte blanche Boîte noire Boîte grise Aucun type précis n'est mentionné

L'équipe reçoit un compte employé standard sans privilège particulier — la définition même d'un test en boîte grise.

3. Dans le scénario, comment l'équipe obtient-elle initialement un nom d'utilisateur probable ?

Un employé le leur a donné directement Via une attaque par force brute complète Via un scan de ports Via les métadonnées d'un document PDF indexé par erreur

Les métadonnées du document exposé ont révélé le format de nom d'utilisateur, un exemple typique de fuite d'information (Chapitre 2).

4. Pourquoi l'absence de limitation du nombre de tentatives de connexion est-elle si significative dans ce scénario ?

Elle a permis l'attaque par dictionnaire qui a mené à l'accès initial Elle n'a eu aucun impact sur le résultat final Elle concerne uniquement le Wi-Fi Elle aurait empêché toute reconnaissance

Cette faiblesse a directement permis l'attaque par dictionnaire qui a mené à l'obtention du premier accès.

5. Pourquoi l'équipe ne procède-t-elle pas réellement à l'installation d'une porte dérobée ni à l'effacement des traces ?

C'est techniquement impossible Le client l'a explicitement demandé Conformément au principe de ne pas causer de tort, ces actions sont documentées mais jamais exécutées Le temps du mandat était épuisé

Le principe déontologique de ne pas causer de tort limite l'exécution réelle de ces phases à leur simple documentation.

6. À quelle phase de la Cyber Kill Chain correspond la préparation d'une liste de mots de passe adaptée au format de nom d'utilisateur découvert ?

Reconnaissance Armement Exploitation Actions sur objectifs

Préparer l'outil d'attaque à partir des renseignements collectés correspond à la phase d'armement.

7. Que faut-il retenir du fait qu'un seul maillon rompu (la limitation de tentatives) aurait pu arrêter toute la chaîne ?

Que le test d'intrusion était mal mené Que la Cyber Kill Chain ne s'applique pas à ce scénario Que le client n'avait aucune défense Qu'interrompre une seule phase suffit à faire échouer l'ensemble de l'attaque

C'est l'argument central du modèle de la Kill Chain, illustré concrètement dans ce scénario de synthèse.

8. Quelle section d'un rapport de test d'intrusion s'adresse principalement à la direction, sans jargon technique ?

Le résumé exécutif Les annexes techniques La méthodologie détaillée Le code source des preuves de concept

Le résumé exécutif est conçu pour un public non technique, contrairement aux annexes techniques destinées aux équipes de correction.

9. Pourquoi un rapport qui énumère des failles sans les prioriser rend-il un mauvais service au client ?

Parce que la loi exige une priorisation stricte Parce que cela coûte plus cher à produire Parce que la priorisation par impact réel est ce qui permet au client d'agir efficacement Parce que les failles non priorisées sont automatiquement fausses

Sans priorisation, le client ne sait pas par où commencer — la valeur ajoutée du testeur inclut cette hiérarchisation.

10. Quelle affirmation résume le mieux l'objectif pédagogique de ce chapitre de synthèse ?

Introduire une toute nouvelle catégorie d'attaque jamais vue avant Montrer comment les phases et chapitres précédents s'articulent ensemble dans un mandat réel Remplacer le besoin des chapitres précédents Se concentrer uniquement sur la cryptographie

Ce chapitre recompose délibérément l'ensemble des notions déjà vues en un seul fil narratif cohérent.