Attaquer pour mieux défendre
Un test d'intrusion (pentest, pour penetration testing) consiste à se mettre dans la peau d'un attaquant pour éprouver, pour de vrai, la sécurité d'un système — mais dans un cadre autorisé et maîtrisé. L'objectif n'est pas de casser : c'est de trouver les failles avant les vrais attaquants, puis de les corriger. C'est une démarche défensive, menée avec des méthodes offensives.
Le cadre légal d'abord, toujours. On ne teste jamais un système sans autorisation écrite et explicite du propriétaire, avec un périmètre défini (ce qui est permis, ce qui ne l'est pas, quand, jusqu'où). Tester sans accord est une infraction pénale, même « pour voir » ou « pour aider ». L'autorisation est la première étape, pas une formalité.
Les grandes phases
Un pentest suit un déroulé ordonné, chaque phase préparant la suivante.
Rassembler l'information sur la cible : noms de domaine, adresses, services exposés, technologies. Sans rien perturber encore.
Scanner pour repérer les machines vivantes, les ports ouverts, les services et leurs versions. On dresse la surface d'attaque.
Tester si les failles repérées sont réellement exploitables, en conditions contrôlées et dans le périmètre autorisé.
Mesurer l'impact : jusqu'où pourrait aller un attaquant une fois entré ? Quelles données, quels droits seraient atteints ?
Documenter chaque faille, son risque, sa preuve, et surtout les recommandations de correction, classées par priorité.
Les familles d'outils
Chaque phase a ses outils de référence. En connaître le rôle aide aussi, côté défense, à reconnaître ce qu'on pourrait voir passer.
| Famille | Exemples connus | À quoi ça sert |
|---|---|---|
| Découverte réseau | Nmap | Cartographier machines, ports et services |
| Analyse web | Burp Suite, ZAP | Inspecter et tester les applications web |
| Analyse de trafic | Wireshark | Observer ce qui circule sur le réseau |
| Scan de vulnérabilités | Nessus, OpenVAS | Repérer automatiquement les failles connues |
| Cadre d'exploitation | Metasploit | Tester l'exploitabilité, de façon encadrée |
| Mots de passe | Hashcat, John | Évaluer la robustesse des mots de passe |
Beaucoup de ces outils sont réunis dans des distributions dédiées comme Kali Linux. L'outil ne fait pas le pentester : c'est la méthode, l'interprétation et l'éthique qui comptent.
Le vrai livrable : la correction
Un pentest ne vaut que par ce qu'on en fait. Le rapport alimente un plan de remédiation : corriger, durcir, mettre à jour, reconfigurer. Puis on re-teste pour vérifier que les failles sont bien fermées. C'est un cycle, pas un événement ponctuel.
Par le risque
Traiter d'abord ce qui est à la fois facile à exploiter et lourd de conséquences.
À la racine
Patcher, reconfigurer, renforcer l'authentification, réduire la surface exposée.
Par un re-test
Confirmer que la correction tient, et qu'elle n'a pas ouvert autre chose.
L'essentiel
- Le pentest éprouve une sécurité en l'attaquant, pour corriger avant les vrais attaquants.
- Jamais sans autorisation écrite et périmètre défini : le cadre légal passe avant tout.
- Déroulé : reconnaissance → cartographie → exploitation → post-exploitation → rapport.
- La valeur est dans la remédiation et le re-test, pas dans la liste de failles.