samglish/PentestIntro

Test de pénétration

Test de pénétration

Mise en situation

La sécurité concerne n'importe quel type d'application, cela peut aller d'une simple application web aux architectures complexes. Le niveau de complexité dépend du fournisseur de l'application/service/besoin.

Concept

• La démocratisation du web a rendu possible la création d'une surface d'attaque plus large pour les hackers.
• La portée qui diffère
• Démocratisation de la technologie
• Les tests concernent tous les niveaux

---

Evaluation

• Plusieurs entreprises offrent des services de sécurité
• Des termes de plus en plus vague :

1. Audit de sécurité
2. Evaluation de risques
3. Test de pénétration

• Avoir une définition précise est devenue une obligation pour pouvoir répondre aux besoins au niveau de sécurité des systèmes d'informations.

---

L'évaluation des risques/sécurité

• Analyse des services afin d'identifier des vulnérabilités dans des systèmes, des applications ou encore des processus
• Les tests de pénétration vont plus loin d'une évaluation des risques afin de vérifier si les vulnérabilités trouvées sont réellement présentes ou pas (c'est ce qu'on appelle des faux positifs)

Etapes

1. Prise d'informations
2. Recherche de vulnérabilités
3. Exploitation

Exemple

• Lors de l'évaluation de risques on peut utiliser des scanners tels que Nessus et avoir des résultats qui ne sont pas forcément vrais tels que la présence d'une faille XSS
• Il est nécessaire de passer à la phase exploitation afin de vérifier la présence de celle-ci.

Comment pratiquer ?

• Les outils de prise d'informations (début)
• Mettre la casquette du hacker
• But spécifique
• Qualité > Quantité
• Analyser avant d'attaquer
• Réactivité

Remarques

• Les tests de pénétration ne sont pas là pour sécuriser le réseau
• Mettre une étiquette sur le terme
• Suivre la Vérification
• Spécifier la portée
• Avant de passer à l'action

Guide pour établir une portée

• Définition du système
• Time frame
• Comment la cible sera évaluée
• Les outils
• La partie prenante
• L'état de départ
• Identification des SPOF
• Le flag
• Le livrable
• Correction et amélioration (Optionnel)

Les types d'états de départ/TDP

Méthodologies de test de pénétration

1. Open Source Security Testing Methodology Manuel
2. Information Systems Security Assessment Framework
3. Open Web Application Security Project Testing Guide
4. Web Application Security Consortium Threat Classification
5. Penetration Testing Execution Standard

Open Source Security Testing Methodology Manuel

• ISECOM
• Test et Analyse
• Day-to-day
• Portée - Channel - Index - Vecteur
• Standard : Blind, Double blind, Gray box, double gray box, tandem, reversal

Information Systems Security Assessment Framework

• Open Source
• Test et analyse
• Framework
• Niveau technique et manageriel
• ISSAF est très au niveau technique et contient plusieurs Baselines

Open Web Application Security Project Testing Guide

• OWASP
• Open community
• Secure Coding et meilleurs pratiques
• OWASP Testing Project : https://owasp.org/projects/
• OWASP Top Ten : https://owasp.org/www-project-top-ten/
• Web Security Testing Guide : https://owasp.org/www-project-web-security-testing-guide/
• OWASP Top 10:2021 : https://owasp.org/Top10/fr/
• OWASP Application Security : https://owasp.org/www-project-application-security-verification-standard/

Web Application Security Consortium Threat Classification

• WASTC-TC
• Identification des risques de sécurité
• Procédures de test
• Developpement Life cycle
• Similaire à l'OWASP

Penetration Testing Execution Standard

• PTES
• Efficace sur n'importe qu'elle environnement
• 7 phases de test:

1. Pre-engagement interactions
2. Intelligence gathering
3. Threat modeling
4. Vulnerability analysis
5. Exploitation
6. Post-exploitation
7. Reporting