Guide · Test d’intrusion · Courbevoie
Une PME qui a ouvert un portail client sur internet doit ensuite répondre à une question simple : les failles signalées il y a un an ont-elles été corrigées ? Le rapport existe, mais personne ne l’a relu après les travaux, et l’entreprise ignore si les failles tiennent encore. Cette page explique comment une mission de test d’intrusion répond à ce doute, et ce qu’elle exige de l’entreprise.
Sommaire
- Contexte local : ce qu’il faut savoir à Courbevoie
- Les situations qui déclenchent une demande
- Le test d’intrusion : de quoi parle-t-on ?
- Comprendre un devis de test d’intrusion
- Ce que fait concrètement le prestataire
- Comparer les offres sans se tromper
- De la demande au devis à Courbevoie
- Questions fréquentes
Contexte local · Courbevoie
Contexte local : ce qu’il faut savoir à Courbevoie
Courbevoie (92400) appartient aux Hauts-de-Seine et compte La Défense parmi ses pôles. La commune jouxte Puteaux, Nanterre, Levallois-Perret, Neuilly-sur-Seine et La Garenne-Colombes, ce qui en fait un point de passage entre plusieurs bureaux de la proche couronne. Une entreprise qui a des équipes dans l’une de ces villes doit décider si elles partagent le même réseau et le même annuaire.
Pour un test, la question clé reste la frontière du périmètre. Un serveur de fichiers installé dans un immeuble de Courbevoie peut être administré depuis un autre site. Sa présence dans la convention dépend alors de son administrateur réel, qui doit donner son accord par écrit.
Les immeubles de bureaux du secteur ne sont pas gérés tous de la même façon. Avant la première tentative, demandez au gestionnaire quels locaux techniques et quels accès réseau échappent au contrôle de l’entreprise. Un équipement qui n’appartient pas à l’entreprise ne doit pas entrer dans le test sans accord écrit.
- Pôles et quartiers
- La Défense
- Département
- Hauts-de-Seine (92)
- Limitrophes
- Puteaux, Nanterre, Levallois-Perret, Neuilly-sur-Seine, La Garenne-Colombes
Les situations qui déclenchent une demande
- Un assureur ou un auditeur qui pose la question : le questionnaire demande des preuves de tests, et une réponse approximative fragilise le dossier.
- Des comptes de démonstration restés ouverts : des accès créés pour une présentation existent encore en production.
- Un client qui réclame le rapport : le donneur d’ordre veut savoir quel périmètre a été testé, et à quelle date.
- Un extranet mis en ligne sans contrôle : l’espace destiné aux clients n’a jamais fait l’objet d’un examen de sécurité.
Le test d’intrusion : de quoi parle-t-on ?
Un contrôle ponctuel, mené à la main
Le test d’intrusion repose sur un auditeur qui raisonne comme un attaquant, dans un périmètre écrit et pour une durée convenue. Il ne consiste pas à lancer un outil et à lire le résultat : l’auditeur vérifie chaque piste et établit ce qui est réellement exploitable.
Un complément à la gestion des vulnérabilités
La gestion des vulnérabilités est un cycle continu d’inventaire, de correction et de vérification. Le test d’intrusion s’intercale dans ce cycle comme un regard extérieur à un moment précis. Les deux sont complémentaires : le cycle traite les failles connues, le test vérifie leur enchaînement.
Comprendre un devis de test d’intrusion
Lire un devis de test d’intrusion demande de repérer ce qu’il couvre, plus que son total. Les points à examiner :
- les adresses, applications et comptes inclus dans le périmètre ;
- le choix entre test externe, interne et applicatif ;
- le degré d’information donné à l’auditeur ;
- les horaires d’essai et les contraintes de production ;
- le contre-test et la forme du rapport.
Deux devis qui ne décrivent pas le même périmètre ne se comparent pas, même s’ils portent le même intitulé.
Ce que fait concrètement le prestataire
La convention d’abord
Le prestataire rédige avec le responsable des systèmes une convention qui fixe le périmètre, les exclusions, les dates et les interlocuteurs. Elle précise aussi l’accord nécessaire des tiers, hébergeurs ou gestionnaires, lorsque leurs équipements sont concernés. Sans cette signature, l’auditeur ne tente rien.
Les essais
L’auditeur conduit le test externe depuis internet, le test interne depuis un point d’accès au réseau, ou le test applicatif avec des comptes de différents profils. Il s’arrête là où la convention l’impose, et signale sans délai toute faille critique rencontrée en cours de route.
Le rapport et la vérification
Le rapport décrit chaque faille, sa gravité, la preuve de son exploitation et la correction recommandée. Une synthèse pour la direction accompagne le détail technique. Si un contre-test est inclus, il contrôle ensuite que les corrections ont été appliquées et qu’elles tiennent.
Comparer les offres sans se tromper
Comparez les propositions sur le périmètre exact, le type de test, la forme du rapport et la présence d’un contre-test. Demandez aussi quelle qualification l’auditeur peut présenter : la qualification PASSI délivrée par l’ANSSI se vérifie sur la liste publiée par l’ANSSI, lorsque le contexte l’exige. Une offre qui ne précise rien de tout cela n’est pas comparable.
De la demande au devis à Courbevoie
- Recenser les équipements exposés, et ceux qui ne sont pas à l’entreprise.
- Fixer le niveau d’information confié à l’auditeur.
- Signer la convention, accords des tiers compris.
- Relire le rapport avec la direction et les équipes concernées.
- Contrôler les corrections par un contre-test, si la mission le prévoit.
Pour approfondir, la page test d’intrusion présente la mission dans son ensemble, et la page test d’intrusion dans les Hauts-de-Seine couvre le département. Les communes Puteaux et Nanterre sont voisines et ont chacune leur page. Pour démarrer, décrivez votre besoin dans le formulaire : un spécialiste des tests d’intrusion proche de Courbevoie vous recontacte, gratuitement et sans engagement.