Guide · Test d’intrusion · Paris
Un client demande le rapport du dernier test d’intrusion avant de signer, et personne dans l’entreprise ne sait plus qui l’a réalisé, sur quel périmètre ni avec quelles suites. Cette page décrit une mission de test d’intrusion, son cadre écrit et les vérifications à faire avant de la confier.
Sommaire
Le test d’intrusion, c’est quoi ?
Une attaque simulée, encadrée et autorisée
Un test d’intrusion confie à un auditeur la tâche de tenter d’exploiter les failles d’un système, comme le ferait une personne malveillante, mais dans un cadre écrit et avec des limites connues. Le résultat est une liste de failles prouvées, non une liste de suppositions.
Ce qui distingue le test d’un scan
Un scan automatique recense les services exposés et les versions installées. L’auditeur, lui, relie les constats entre eux : une faille mineure permet-elle d’atteindre un compte plus sensible, puis une application métier ? C’est cet enchaînement qui donne au rapport sa valeur.
Contexte local · Paris
Contexte local : le test d’intrusion à Paris
Paris (75) regroupe ses arrondissements et plusieurs pôles d’activité, dont le Quartier central des affaires et Paris Rive Gauche (13e). La capitale est bordée par les Hauts-de-Seine, la Seine-Saint-Denis et le Val-de-Marne. Une entreprise parisienne peut exploiter des sites dans ces départements voisins : le périmètre doit alors dire clairement où s’arrêtent les locaux de la capitale. Pour un siège du 8e arrondissement doublé d’un bureau voisin, la convention indique si les deux réseaux communiquent.
Dans un immeuble de bureaux, les accès réseau dépendent parfois d’un gestionnaire ou d’un hébergeur. Une fois le périmètre validé, une personne joignable doit être désignée sur chaque adresse. Demandez-leur les règles qui s’appliquent aux tests, car un essai qui sort du réseau de l’entreprise relève de ces règles. Si une partie du système est hébergée dans un local technique ou chez un fournisseur cloud, ces équipements figurent dans la convention, ou en sont écartés explicitement.
- Repères
- Quartier central des affaires, Paris Rive Gauche (13e)
- Zones voisines
- Hauts-de-Seine, Seine-Saint-Denis, Val-de-Marne
Les situations qui déclenchent une demande
- Une application ouverte sans test : l’outil métier accessible depuis internet n’a jamais été éprouvé par un regard extérieur.
- Des scans qui ne se hiérarchisent pas : la liste de failles s’allonge, sans qu’on sache par où commencer.
- Un ancien rapport resté sans suite : les corrections annoncées il y a longtemps n’ont jamais été vérifiées.
- Une question sur un poste compromis : que pourrait atteindre un attaquant qui aurait déjà pris pied sur un ordinateur de bureau ?
Ce que comprend une prestation
Cadrer et autoriser avant tout essai
Le périmètre se fixe par écrit : adresses, applications, comptes, sites, exclusions et plages horaires. Une convention signée par le responsable des systèmes autorise le test, en fixe les limites et prévoit l’accord des hébergeurs concernés. Sans ce document, aucune tentative ne doit commencer.
Tester depuis l’extérieur, depuis l’intérieur, dans l’application
Le test externe part d’internet et examine les services visibles. Le test interne suppose un point d’appui dans le réseau, comme un poste compromis, et mesure les déplacements possibles entre serveurs et les droits de l’annuaire. Le test applicatif examine l’authentification, les sessions et les droits par profil.
Rapport, correction et contre-test
Le rapport classe chaque faille par gravité, avec sa preuve d’exploitation et une correction recommandée. Il comporte une synthèse pour la direction et un détail pour les équipes techniques. Après les corrections, un contre-test vérifie qu’elles tiennent : c’est la seule façon de savoir si une faille a réellement disparu.
Ce qui fait varier le prix
Le coût dépend de ce que la convention met dans le périmètre et de la manière dont l’essai est conduit. Plusieurs leviers entrent en jeu :
- le périmètre : adresses exposées, applications et sites à examiner ;
- le type de test, externe, interne, applicatif, ou une combinaison ;
- les informations données à l’auditeur, de la boîte noire à la boîte blanche ;
- le nombre de profils d’utilisateurs à tester dans une application ;
- les horaires imposés, comme des essais de nuit pour protéger la production ;
- l’éventuel contre-test après les corrections.
Comparez deux propositions à périmètre égal, en vérifiant qu’elles prévoient les mêmes livrables.
Bien choisir son prestataire
Trois points méritent une vérification avant signature. Le périmètre et l’autorisation écrite sont-ils formalisés avant le moindre essai ? Le rapport distingue-t-il la synthèse pour la direction du détail technique ? Un contre-test est-il prévu après les corrections ? Lorsque la mission le justifie, demandez aussi si l’auditeur dispose de la qualification PASSI délivrée par l’ANSSI, à vérifier sur la liste publiée par l’ANSSI.
Les étapes de votre demande à Paris
- Décrire le périmètre : adresses, applications, sites et personnes à prévenir.
- Préciser le cadre : objectif de la mission, boîte noire, grise ou blanche, plages horaires.
- Recevoir le devis, avec les exclusions et les livrables prévus.
- Signer la convention d’audit avant le premier essai.
- Examiner le rapport, puis planifier les corrections et un contre-test.
Pour approfondir, la page test d’intrusion présente la mission dans son ensemble, et la page test d’intrusion dans le Val-de-Marne couvre le département voisin. Les autres voisins directs ont aussi leur page : Hauts-de-Seine et Seine-Saint-Denis. Pour démarrer, décrivez votre besoin dans le formulaire : un spécialiste des tests d’intrusion à Paris vous recontacte, gratuitement et sans engagement.