Guide · Test d’intrusion · Boulogne-Billancourt
Lorsqu’une cession ou une levée de fonds approche, l’audit technique demandé par l’acquéreur ou l’investisseur passe vite au premier plan. Le test d’intrusion donne alors une vue concrète de ce qu’un attaquant pourrait atteindre, à condition d’avoir été cadré par écrit. Voici comment la mission s’organise, ce qu’elle couvre et ce qu’elle ne couvre pas.
Sommaire
Contexte local · Boulogne-Billancourt
Contexte local : le test d’intrusion à Boulogne-Billancourt
Boulogne-Billancourt (92100) se trouve dans les Hauts-de-Seine, au contact de Paris 16e, d’Issy-les-Moulineaux, de Saint-Cloud et de Sèvres. Deux pôles sont cités : Seine Ouest, partagé avec Issy-les-Moulineaux, et les secteurs de l’Île Seguin et du Trapèze. Une entreprise installée dans l’un de ces secteurs peut partager des liaisons ou des hébergements avec ses voisines, sans que cela apparaisse dans l’organigramme.
Les configurations varient. Qu’il s’agisse d’un siège dans un immeuble de bureaux, d’un plateau loué ou d’une petite structure qui héberge son serveur chez un tiers, les systèmes exposés ne se trouvent pas au même endroit. Un test externe couvre d’abord les adresses publiques, qu’elles soient dans les locaux ou ailleurs. Si l’entreprise a un second site à Issy-les-Moulineaux, les liaisons entre les deux se notent dans le périmètre, et pas seulement les adresses.
Un point pratique : désigner à l’avance la personne qui peut interrompre un essai, et les heures où elle reste joignable.
- Pôles et quartiers
- Seine Ouest, Île Seguin, Trapèze
- Département
- Hauts-de-Seine (92)
- Limitrophes
- Paris 16e, Issy-les-Moulineaux, Saint-Cloud, Sèvres
Les situations qui déclenchent une demande
- Un client qui veut un rapport récent : un donneur d’ordre demande la preuve qu’un test a été mené avant de confier une mission.
- Un extranet ouvert à des sous-traitants : un espace d’échange mis en ligne n’a jamais été contrôlé par un regard extérieur.
- Une refonte réseau jamais éprouvée : le câblage, l’annuaire ou les pare-feu ont changé sans qu’un essai mesure la solidité du résultat.
- Un questionnaire qui demande des preuves : un assureur ou un auditeur interroge sur les tests menés, et les réponses ne sont pas documentées.
Le test d’intrusion, c’est quoi ?
Le test d’intrusion est une mission où un auditeur tente d’exploiter les failles d’un système comme le ferait une personne malveillante, dans un cadre convenu à l’avance. Il vérifie ce qui est réellement exploitable, et jusqu’où un attaquant pourrait aller en enchaînant plusieurs faiblesses.
L’auditeur travaille à partir d’un point de départ choisi : boîte noire, sans information préalable ; boîte grise, avec un compte ordinaire ; ou boîte blanche, avec la documentation technique. Il ne remplace pas un scan automatique, qui liste des failles supposées. Il les vérifie à la main, ce qui fait toute la différence dans la hiérarchie des corrections.
Ce qui fait varier le prix
Il n’existe pas de tarif unique : le coût suit l’étendue de la mission et la manière de la conduire.
- selon le nombre d’adresses exposées et d’applications à examiner ;
- selon le type de test retenu, externe, interne, applicatif ou combiné ;
- selon le niveau d’accès fourni à l’auditeur, de l’aucun accès au compte complet ;
- selon les horaires, notamment lorsque les essais doivent avoir lieu la nuit ;
- selon l’inclusion d’un contre-test après corrections.
Deux devis se comparent seulement si le périmètre, les horaires et le contre-test sont identiques.
Ce que comprend une prestation
Avant : périmètre et autorisation
Le périmètre est fixé avec le responsable des systèmes : services, sites, applications, exclusions, plages horaires et personnes à prévenir. Une convention écrite autorise la mission, en fixe les limites et prévoit l’accord des hébergeurs concernés. Aucun test sans autorisation écrite ni périmètre signé.
Pendant : essais et suivi
L’auditeur commence par ce qui est visible depuis internet, puis examine les applications retenues. Pour un test interne, il part d’un accès présent sur le réseau et observe ce qu’il peut atteindre. Un interlocuteur désigné côté entreprise suit l’avancement, et l’infogérant est averti pour qu’une alerte ne soit pas prise pour une attaque réelle.
Après : rapport et contre-test
Le rapport classe les failles par gravité, avec la preuve de leur exploitation et une correction pour chacune. La synthèse de direction et le détail technique sont deux documents distincts. Le rapport ne vaut que si les failles sont corrigées puis contre-testées : sans ce second passage, rien ne démontre la fermeture effective.
Bien choisir son prestataire
Plusieurs questions évitent les mauvaises surprises. L’auditeur peut-il présenter une qualification PASSI, délivrée par l’ANSSI, à contrôler sur la liste publiée par l’ANSSI si le contexte l’exige ? Le rapport est-il lisible par un dirigeant, avec une synthèse distincte du détail ? Le périmètre et les horaires figurent-ils dans la proposition ? Le contre-test est-il prévu ?
Les étapes de votre demande à Boulogne-Billancourt
- Nommer le périmètre : adresses, applications, sites et exclusions.
- Fixer le type de test et le niveau d’information donné à l’auditeur.
- Signer la convention avec les dates et les interlocuteurs.
- Recevoir le rapport, puis planifier les corrections.
- Faire contre-tester les failles corrigées.
La page test d’intrusion détaille la mission dans son ensemble. Le département dispose de sa page, test d’intrusion dans les Hauts-de-Seine, et les villes voisines de la sienne ont leur propre page : Issy-les-Moulineaux et Puteaux. Pour lancer la demande, décrivez le besoin dans le formulaire : un spécialiste des tests d’intrusion proche de Boulogne-Billancourt vous recontacte, gratuitement et sans engagement.