Guide · Test d’intrusion · Saint-Denis
Une application métier mise en service il y a plusieurs années, avec des accès qui se sont accumulés, ne figure pas toujours dans les plans de sécurité. À Saint-Denis, les entreprises qui exploitent un outil de ce type découvrent souvent la question lors d’une refonte ou d’un audit. Cette page présente la mission, le cadre écrit qui la rend licite et la manière dont son rapport se lit.
Sommaire
Test d’intrusion : de quoi parle-t-on ?
Il s’agit d’une mission ponctuelle où un auditeur essaie, dans un cadre écrit, d’exploiter les failles d’un système pour voir ce qui est réellement atteignable. Trois angles existent : le test externe, depuis internet ; le test interne, qui part du réseau pour simuler un attaquant déjà présent ; et le test applicatif, centré sur un portail, un extranet ou un logiciel métier. Le test ne liste pas des failles supposées : il les vérifie et montre comment elles s’enchaînent. C’est pour cela qu’un scan automatique ne le remplace pas.
Les signaux à ne pas laisser traîner
- Un extranet partagé avec des sous-traitants : un espace d’échange ouvert hors de l’entreprise n’a jamais fait l’objet d’un contrôle indépendant.
- Une refonte du réseau : le câblage, l’annuaire ou les équipements de sécurité ont changé, sans preuve que l’ensemble tient.
- Une question venue d’un assureur ou d’un auditeur : un questionnaire interroge sur les tests menés, et aucune réponse n’est documentée.
- Des comptes de démonstration oubliés : des accès ouverts pour une présentation sont restés actifs en production.
Contexte local · Saint-Denis
Contexte local : ce qu’il faut savoir à Saint-Denis
Saint-Denis (93200) se situe en Seine-Saint-Denis, au contact de Paris 18e, d’Aubervilliers, de Saint-Ouen-sur-Seine et d’Épinay-sur-Seine. Ses pôles cités sont La Plaine Saint-Denis et le secteur du Stade de France. Les entreprises qui y ont leurs locaux sont dans des configurations très variées : bâtiments tertiaires, entrepôts avec bureaux, petites unités de production. Le périmètre d’un test doit tenir compte de cette variété. Un entrepôt relié à un bureau par une liaison dédiée ne présente pas les mêmes chemins d’accès qu’un plateau tertiaire isolé.
Lorsqu’une société a des sites dans une commune voisine, comme Aubervilliers ou Paris 18e, il faut décider si les liaisons entre sites entrent dans la mission. Une faille située sur une liaison peut servir de point d’appui vers le reste du réseau, même si l’adresse concernée n’occupe pas le centre du périmètre.
Dans un bâtiment d’activité, les contraintes sont souvent opérationnelles : des machines de production qu’il ne faut pas solliciter, des horaires de poste à respecter. Les essais applicatifs et internes se planifient alors hors des cycles sensibles, avec un responsable joignable pendant toute la mission.
- Pôles et quartiers
- La Plaine Saint-Denis, Stade de France
- Département
- Seine-Saint-Denis (93)
- Limitrophes
- Paris 18e, Aubervilliers, Saint-Ouen-sur-Seine, Épinay-sur-Seine
Comparer les offres sans se tromper
Trois points départagent souvent les propositions. La convention précise-t-elle les adresses, les dates et les exclusions ? Le rapport contient-il des preuves reproductibles et une synthèse pour la direction ? Le prix inclut-il le contre-test, ou celui-ci est-il chiffré à part ? Pour l’auditeur, la qualification PASSI, délivrée par l’ANSSI, se vérifie sur la liste publiée par l’ANSSI lorsque le contexte le demande.
Ce que fait concrètement le prestataire
Mise en place
Le prestataire convient du périmètre avec le responsable des systèmes : services, applications, comptes fournis ou non, exclusions et plages horaires. La convention fixe aussi l’accord des hébergeurs concernés. Sans autorisation écrite, aucun essai n’est lancé, quel que soit le contexte.
Déroulé des essais
Pour un test externe, l’auditeur examine ce qui répond depuis internet. Pour un test applicatif, il s’intéresse à l’authentification, aux sessions, aux droits par profil et aux champs de saisie. Pour un test interne, il part d’un accès déjà présent et regarde ce qu’il peut joindre. Une personne désignée côté entreprise reste disponible et peut interrompre un essai.
Rapport, corrections, contre-test
Le rapport classe les failles par gravité, avec la preuve de leur exploitation et une correction recommandée pour chacune. La synthèse de direction et le détail technique sont deux documents distincts. Une correction n’est confirmée que par un contre-test : le rapport ne vaut que si les failles sont effectivement fermées.
Comprendre un devis de test d’intrusion
Le devis s’explique par quelques leviers. Il faut le lire face à la mission réelle, et non comme un forfait abstrait :
- du nombre d’adresses exposées et d’applications inscrites au périmètre ;
- du type de test, externe, interne, applicatif, ou d’une combinaison ;
- des informations confiées à l’auditeur au départ, boîte noire, grise ou blanche ;
- du contre-test après corrections, à inclure ou non.
Avant de comparer deux devis, vérifiez qu’ils décrivent le même périmètre et les mêmes horaires.
De la demande au devis à Saint-Denis
- Exposer le contexte : services concernés, applications sensibles, contraintes de production.
- Recevoir une proposition qui précise le périmètre, la méthode et le livrable.
- Valider la convention avant tout essai, avec ses dates et ses interlocuteurs.
- Corriger, puis faire contre-tester les failles retenues.
Le sujet est présenté dans son ensemble sur la page test d’intrusion. Pour le département, consultez la page test d’intrusion en Seine-Saint-Denis ; les voisines sont traitées sur leurs propres pages, Montreuil et Paris. Décrivez votre besoin dans le formulaire : un spécialiste des tests d’intrusion proche de Saint-Denis vous recontacte, gratuitement et sans engagement.