Les acheteurs entendent souvent parler de « test d'intrusion » et de « scan de vulnérabilités » comme s'il s'agissait de la même chose. Ce n'est pas le cas. Un scan de vulnérabilités est une vérification automatisée qui compare des systèmes à une base de données de faiblesses connues. Un test d'intrusion est un exercice cadré, mené par une personne, au cours duquel un testeur examine si des faiblesses peuvent réellement être exploitées contre une cible convenue, et en documente les preuves. Les deux sont utiles. Le bon choix dépend de la question à laquelle vous devez répondre, de la maturité de votre environnement et des personnes qui liront les résultats.
Définition
Un scan de vulnérabilités exécute un outil sur des hôtes, des sites web ou des applications et signale les problèmes qu'il sait reconnaître : correctifs manquants, versions logicielles obsolètes, services exposés, paramètres TLS faibles ou erreurs de configuration courantes. Les scans sont rapides et reproductibles, ce qui les rend adaptés à une hygiène régulière. Leurs limites sont bien connues. Les scanners produisent des faux positifs, passent à côté des problèmes qui dépendent de la logique métier et ne peuvent pas vous dire si une constatation jugée faible devient grave lorsqu'elle est combinée à une autre. Un test d'intrusion part d'un périmètre écrit et de règles d'engagement. Le testeur utilise des outils, y compris des scanners, mais travaille ensuite manuellement : il valide les constatations, teste l'authentification et les autorisations, vérifie la séparation des rôles et des locataires, et suit les chemins réalistes qu'un attaquant pourrait tenter. Le livrable est un rapport comprenant des preuves, des niveaux de gravité et des recommandations de remédiation, plutôt qu'une liste brute de résultats d'outils. En résumé, un scan vous indique ce qui pourrait poser problème ; un test d'intrusion vous indique ce qui pose problème de façon démontrable dans le périmètre convenu, et pourquoi c'est important.
Public concerné
Cette comparaison est utile aux équipes qui :
- Ont reçu d'un client, d'un partenaire ou d'un assureur une demande de « tests de sécurité » et doivent comprendre ce qui est réellement demandé
- Effectuent déjà des scans réguliers et veulent savoir si un test manuel apporterait un éclairage utile
- Lancent une nouvelle application web, une API ou une application mobile et doivent décider de la profondeur des tests avant lancement
- Doivent expliquer à la direction pourquoi deux devis de « tests » diffèrent fortement en effort et en livrables
Ce qu'il aide à clarifier
Lire les deux côte à côte permet de clarifier :
- Si votre question porte sur l'hygiène face aux problèmes connus (scan) ou sur le risque exploitable dans un système précis (test d'intrusion)
- Quelles constatations d'un rapport de scan existant relèvent probablement du bruit et lesquelles méritent une validation manuelle
- En quoi la logique métier, le contrôle d'accès et les chemins d'attaque en plusieurs étapes échappent à ce que les outils automatisés détectent habituellement
- Quelles preuves une partie prenante s'attendra à trouver dans un rapport final
Ce qui est inclus
- Liste de contrôle du scan : définir la liste des actifs, planifier des scans réguliers, désigner un responsable du tri des résultats et suivre la remédiation dans le temps
- Liste de contrôle du test d'intrusion : convenir par écrit, avant le début des travaux, des cibles, des environnements, de la fenêtre de test, de la méthode d'accès, des contacts désignés et des conditions d'arrêt
- Obtenir l'autorisation écrite du propriétaire du système, ainsi que de tout hébergeur ou fournisseur qui exploite des systèmes inclus dans le périmètre
- Décider si des tests authentifiés sont nécessaires (comptes de test pour chaque rôle) afin de pouvoir examiner les problèmes de contrôle d'accès
- Convenir de la manière dont les constatations seront notées et dont les preuves seront partagées de façon sécurisée avec les contacts désignés
- Prévoir une fenêtre de contre-test afin que les constatations corrigées puissent être confirmées après remédiation
Ce qui n'est pas inclus
- L'affirmation qu'un scan suffit à démontrer qu'une application est sécurisée
- L'affirmation qu'un test d'intrusion trouve toutes les faiblesses ; il examine un périmètre convenu dans un délai convenu
- Des instructions d'exploitation ou le test de systèmes dont vous n'êtes pas propriétaire ou que vous n'êtes pas autorisé à tester
- Une certification, une approbation de conformité ou une opinion d'audit formelle
Quand le choisir
Choisissez le scan lorsque vous avez besoin d'une visibilité régulière et étendue sur de nombreux actifs et que vous disposez d'un processus pour trier et corriger ce qu'il signale. Choisissez un test d'intrusion lorsqu'un système précis compte pour l'activité, lorsqu'un client ou un partenaire demande des preuves de tests manuels, avant un lancement important ou après des changements majeurs de l'authentification, des paiements ou du traitement des données. De nombreuses organisations utilisent les deux : des scans planifiés pour maintenir une hygiène stable et un test d'intrusion périodique pour examiner les systèmes qui portent le plus de risque. Si vous ne pouvez pas encore lister vos actifs ou leurs responsables, une revue de base plus large peut constituer une première étape plus utile que l'un ou l'autre.
Notre approche
Partez de la décision que vous devez prendre. Si un questionnaire client demande un test d'intrusion annuel, un rapport de scan ne suffira généralement pas. Si vous avez simplement besoin de savoir si les serveurs exposés à Internet sont à jour, un test manuel complet peut aller au-delà de vos besoins. Ensuite, confirmez le périmètre : quelles applications, API, quels environnements et rôles utilisateurs sont inclus, et lesquels sont explicitement exclus. Convenez de la fenêtre de test et de qui peut suspendre les travaux. Notre service Penetration Testing suit ce schéma : périmètre, autorisation écrite, tests dans le respect des règles d'engagement convenues, rapport écrit des constatations avec des recommandations de remédiation priorisées, réunion de restitution et, lorsqu'il est inclus, contre-test des constatations convenues. Quel que soit le prestataire retenu, demandez à voir un exemple de rapport avant de vous engager et vérifiez qu'il distingue les constatations validées des observations informatives. Enfin, prévoyez du temps pour la remédiation. Un test qui produit des constatations que personne n'a le temps de corriger apporte peu de valeur ; alignez donc la date du test sur la capacité de votre équipe à agir sur les résultats.
Foire aux questions
Articles connexes
Démarrer
Besoin d'aide pour choisir entre un scan et un test d'intrusion ?
Indiquez-nous les systèmes concernés, qui demande les tests et la décision que vous devez prendre. Nous vous aiderons à définir un périmètre proportionné.
Demander un périmètre écrit