Guide · Test d’intrusion · Vincennes
Une liste de failles de plusieurs pages, reçue après un scan, ne dit pas par où commencer. Le test d’intrusion sert justement à trancher : il vérifie ce qui est réellement exploitable et ce qu’un attaquant pourrait en faire. Pour une entreprise de Vincennes, la mission débute par un choix de périmètre, puis par un rapport qui hiérarchise les failles au lieu de les empiler.
Sommaire
Ce que recouvre le test d’intrusion
Il s’agit d’une mission où un auditeur tente d’exploiter les failles d’un système, à l’image d’un attaquant, dans un cadre écrit et daté. Trois formes sont courantes : le test externe, qui part d’internet ; le test interne, qui simule un intrus déjà connecté au réseau ; le test applicatif, qui examine un site ou un logiciel métier. Le résultat n’est pas une liste, mais une démonstration : pour chaque faille retenue, le rapport montre la preuve et la portée. Un scan automatique, lui, ne fait qu’annoncer des failles possibles.
Quand faut-il s’en occuper ?
- Une refonte réseau jamais éprouvée : des équipements ont été remplacés, et personne n’a vérifié la solidité de l’ensemble.
- Un questionnaire qui réclame des preuves : un assureur ou un auditeur interroge sur les tests menés, et la réponse reste floue.
- Des comptes de démonstration toujours actifs : des accès ouverts pour une présentation n’ont jamais été fermés.
- Un client qui réclame un rapport : un donneur d’ordre veut voir un test récent avant de confier une mission.
Contexte local · Vincennes
Contexte local : les locaux professionnels à Vincennes
Vincennes (94300) se trouve dans le Val-de-Marne et jouxte Paris 12e, Montreuil, Saint-Mandé et Fontenay-sous-Bois. Les pôles cités sont le château de Vincennes et le bois de Vincennes. Ce sont des repères géographiques : ils ne disent rien du type d’activité des entreprises présentes. Celles-ci occupent des bureaux, des locaux de service ou des espaces mixtes, dont les accès informatiques diffèrent beaucoup d’un cas à l’autre.
Une configuration mérite une attention particulière : un site de Vincennes peut être relié à un bureau de Paris 12e ou de Montreuil par une liaison dédiée, un accès distant ou un service hébergé. Le périmètre doit énumérer ces liaisons, car une faille située sur l’une d’elles sert de point d’appui vers le reste de l’entreprise.
Si le local est situé dans une copropriété ou un ensemble de bureaux, l’accès physique aux équipements dépend souvent du gestionnaire. Une autorisation écrite de celui-ci, précisant les heures et les équipements visés, évite de déranger les autres occupants pendant l’essai.
- Pôles et quartiers
- Château de Vincennes, Bois de Vincennes
- Département
- Val-de-Marne (94)
- Limitrophes
- Paris 12e, Montreuil, Saint-Mandé, Fontenay-sous-Bois
Combien coûte le test d’intrusion ?
Aucun montant ne figure ici, car le coût dépend de la mission elle-même. Quatre éléments reviennent le plus souvent :
- le périmètre : nombre d’adresses, de services et d’applications ;
- le type de test, seul ou combiné ;
- la part d’information donnée à l’auditeur au départ ;
- les horaires, lorsqu’un essai doit se faire la nuit ou hors activité.
Pour comparer deux propositions, il faut d’abord qu’elles couvrent le même périmètre, sans quoi l’écart de prix ne veut rien dire.
Les prestations, étape par étape
Avant la mission
Le périmètre et la convention sont arrêtés avec le responsable des systèmes. Une autorisation écrite et un périmètre signé sont indispensables : sans eux, la mission ne commence pas. La convention indique les dates, les contacts et l’accord des hébergeurs éventuels.
Pendant la mission
L’auditeur commence par les services accessibles de l’extérieur, puis examine les applications du périmètre. Pour un test interne, il part d’un accès déjà présent et observe ce qu’il peut atteindre : annuaire, droits, passages d’un serveur à l’autre. Un interlocuteur joignable côté entreprise suit l’avancement et peut interrompre un essai.
Après la mission
Le rapport classe les failles par gravité, avec leur preuve, leur correction et une synthèse pour la direction. Une fois les corrections faites, un contre-test mesure ce qui a réellement changé. Le rapport ne vaut que si les failles sont corrigées puis contre-testées.
Les questions à poser avant de signer
- Qui valide la convention côté entreprise, et les dates y figurent-elles ?
- L’auditeur peut-il justifier d’une qualification PASSI, délivrée par l’ANSSI, à retrouver sur la liste publiée par l’ANSSI si le contexte l’exige ?
- Le rapport comporte-t-il une synthèse pour la direction, distincte du détail technique ?
- Le contre-test figure-t-il dans l’offre, ou reste-t-il à négocier ?
Comment se déroule un projet à Vincennes
- Cadrer le périmètre : services, applications, sites, liaisons et exclusions.
- Signer la convention avec les dates et les personnes à prévenir.
- Suivre la mission, puis recevoir le rapport classé par gravité.
- Corriger, puis contre-tester les failles prioritaires.
La démarche complète se lit sur la page test d’intrusion. Pour le département, voir la page test d’intrusion dans le Val-de-Marne. Les voisines ont leur propre page : Montreuil et Paris. Décrivez votre besoin dans le formulaire : un spécialiste des tests d’intrusion proche de Vincennes vous recontacte, gratuitement et sans engagement.