Test d'intrusion (pentest) à Lyon
Un test d'intrusion, ou pentest, reproduit les méthodes d'un véritable attaquant contre votre système d'information, avec votre accord écrit et sur un périmètre fixé ensemble. Nous le menons depuis Lyon, à distance ou dans vos locaux, pour vous montrer ce qui est réellement exploitable et comment le corriger.
Un scanner automatique vous remettra une longue liste de vulnérabilités théoriques. Il ne vous dira pas si l'une d'elles permet, de proche en proche, d'atteindre vos devis, votre fichier clients ou la messagerie de la direction. C'est précisément la question à laquelle répond un pentest. Un mot de passe faible sur un compte de service, une application web qui laisse lire les données d'un autre client, un partage réseau ouvert à tous : pris isolément, chaque défaut paraît mineur. Enchaînés, ils mènent parfois très loin.
Nos tests en conditions réelles suivent un cadre strict, écrit et signé avant le premier essai. Pendant le test, nous écartons tout ce qui pourrait perturber la production, et nous vous alertons sans attendre le rapport si nous découvrons une faille critique. À la fin, chaque vulnérabilité exploitée est démontrée, expliquée et accompagnée de sa correction.
Pentest externe, interne ou d'application web
Le choix dépend de la menace qui vous inquiète le plus, et un même projet peut combiner plusieurs angles.
Test externe
Nous partons d'Internet, comme un attaquant qui ne connaît que votre nom : adresses exposées, messagerie, VPN, portails d'accès à distance.
Test interne
Nous partons d'une prise réseau ou d'un poste ordinaire, comme un visiteur malveillant ou un ordinateur piégé, et mesurons jusqu'où l'on peut aller.
Pentest d'application web
Site marchand, extranet ou SaaS : cloisonnement entre utilisateurs, failles d'injection, gestion des sessions, en nous appuyant sur des référentiels publics comme ceux de l'OWASP.
Boîte noire, grise ou blanche
Sans information, avec un compte utilisateur ou avec la documentation complète : plus vous nous en dites, plus le test va loin dans le temps imparti.
Ce que fait un test de pénétration, et ce qu'il ne fait pas
Utile parce que concret, l'exercice a aussi des limites qu'il vaut mieux connaître avant de signer.
Il démontre
Chaque faille rapportée a été vérifiée, preuve à l'appui de ce qu'elle permet : lecture de données, prise de contrôle d'un compte, accès à un serveur.
Il hiérarchise
Les résultats sont classés selon leur gravité et leur facilité d'exploitation, ce qui évite de traiter en urgence un défaut sans conséquence.
Il n'est pas exhaustif
Le test couvre un périmètre et une durée définis. Ne rien trouver ne prouve pas qu'il n'existe aucune faille.
Il ne corrige rien
Il révèle les problèmes ; leur correction est un travail distinct, que nous pouvons mener avec vous ou laisser à vos équipes.
Il photographie un instant
Une nouvelle application ou un changement d'infrastructure peut ouvrir une faille le lendemain. D'où l'intérêt de retester après chaque évolution importante.
Autorisation écrite et périmètre : le cadre avant le test
Sans l'accord du propriétaire des systèmes, un test d'intrusion n'est rien d'autre qu'une intrusion, réprimée par le Code pénal. Ce cadre protège donc les deux parties.
Convention signée
Signée par une personne habilitée, elle liste les systèmes visés, les adresses d'où partiront nos tests, les dates et les plages horaires autorisées.
Accord des tiers
Quand un serveur ou une application est hébergé chez un prestataire, ses conditions d'utilisation s'appliquent aussi et doivent être vérifiées.
Techniques exclues
Ce qui est interdit est écrit : tests de saturation, modification des données de production, ingénierie sociale (manipulation des salariés) si elle n'est pas prévue.
Contacts d'urgence
De chaque côté, une personne joignable pendant le test et capable de l'arrêter à tout moment.
Comment se déroule la prestation
Cadrage et autorisation
Nous choisissons ensemble les cibles, le type de test et le calendrier, puis la convention d'autorisation est signée.
Reconnaissance
Nous recensons ce qui est visible et accessible sur le périmètre : services exposés, versions logicielles, comptes, fonctionnalités de l'application.
Exploitation encadrée
Nous tentons d'exploiter les failles trouvées, dans les limites prévues, en consignant chaque action pour le rapport.
Rapport et contre-test
Rapport avec preuves et corrections, présenté en réunion. Une fois les correctifs appliqués, un contre-test confirme que les failles sont refermées.
Où intervenons-nous ?
Depuis notre siège de Lyon 6e, nous travaillons avec les entreprises de toute la métropole et d'Auvergne-Rhône-Alpes : sur site quand la mission l'exige, à distance pour le reste, et partout en France pour les prestations qui se font en ligne.
Questions fréquentes
Quel est le prix d'un pentest pour une PME ?
Ce type de mission se chiffre sur devis, à l'issue d'un premier échange. Le prix dépend surtout du nombre de cibles (adresses IP, applications, profils utilisateurs à tester), du type de test, du niveau d'information fourni et de l'éventuel contre-test. Un périmètre bien choisi, par exemple l'application qui manipule vos données clients, apporte souvent davantage qu'un survol de tout le système d'information.
Pentest ou scan de vulnérabilités : quelle différence ?
Un scan de vulnérabilités est automatique : un outil compare les versions et les réglages de vos systèmes à des bases de failles connues, avec parfois de fausses alertes. Un expert va plus loin : il vérifie que la faille est réelle, l'exploite, la combine avec d'autres et mesure ce qu'elle permet d'atteindre. Les deux se complètent : le scan régulier surveille, l'attaque simulée approfondit un périmètre choisi.
Un test d'intrusion risque-t-il de perturber notre activité ?
Le risque existe, c'est pourquoi le test est encadré. Les essais susceptibles de ralentir un service sont exclus ou programmés à des horaires convenus, et nous ne modifions pas vos données de production. Pour un système très sensible, tester une copie en préproduction est une bonne alternative.
Combien de temps dure un pentest ?
La durée se compte en jours de test et se fixe au cadrage, selon le nombre de cibles et la complexité de l'application : rôles utilisateurs, paiement, échanges avec d'autres logiciels. S'y ajoutent la préparation, la rédaction du rapport et la réunion de restitution. Le calendrier précis figure dans notre proposition, avant toute signature.
Le test d'intrusion se fait-il à distance ou dans nos locaux à Lyon ?
Le test externe se mène à distance par nature, depuis Internet. Le test interne peut se dérouler dans vos locaux, à Lyon ou dans la région, ou à distance depuis un accès que vous nous ouvrez sur votre réseau. Le choix dépend de ce que vous voulez éprouver : si le Wi-Fi ou l'accès physique au réseau font partie du périmètre, la présence sur site s'impose.
Prestations associées
Parlons de votre situation
Un premier échange sans engagement pour comprendre votre besoin, puis une proposition claire, chiffrée et sans jargon.