Qu’est-ce que le pentesting ?
Le pentesting, ou test d’intrusion, consiste à attaquer volontairement un système informatique pour vérifier jusqu’où un attaquant réel pourrait aller. Des spécialistes mandatés par l’entreprise cherchent les vulnérabilités d’une application, d’un réseau ou d’une infrastructure, puis tentent de les exploiter.
La différence avec un audit tient à ce dernier point. Un audit constate qu’une faille existe ; un pentest démontre ce qu’elle permet de faire. Un rapport de test d’intrusion décrit un chemin d’attaque complet, avec les preuves associées.
L’exercice est encadré par un mandat écrit qui fixe le périmètre, les horaires, les actions interdites et les contacts d’urgence. Sans cette autorisation, les mêmes actes relèvent de l’accès frauduleux à un système de traitement automatisé de données, réprimé par l’article 323-1 du Code pénal.
Black box, grey box, white box : les trois approches
Le choix dépend de ce que l’on veut mesurer et du budget disponible.
- Black box : le testeur ne dispose d’aucune information, comme un attaquant externe. Réaliste, mais une partie du temps facturé passe en reconnaissance.
- Grey box : le testeur reçoit des comptes utilisateurs et une description de l’architecture. C’est le format le plus courant, car il couvre davantage de surface à durée égale.
- White box : accès au code source et aux configurations. Le plus exhaustif, adapté aux applications critiques et aux revues avant mise en production.
Une variante fréquente consiste à commencer en black box, puis à basculer en grey box une fois la phase de reconnaissance terminée, pour ne pas consacrer la moitié de la mission à retrouver ce que le client aurait pu fournir.
À quoi sert le pentesting ?
Le pentesting permet d’identifier les risques concrets auxquels s’expose une organisation. Il aide à renforcer la sécurité avant qu’un vrai attaquant ne l’exploite.
Cette pratique est cruciale pour :
- Tester l’efficacité des protections existantes
- Respecter les obligations de conformité (ISO 27001, RGPD, PCI-DSS, etc.)
- Évaluer l’exposition aux ransomware ou aux attaques ciblées
- Sensibiliser les équipes IT aux risques concrets
Dans certains secteurs comme la banque, la santé ou le e-commerce, ces tests sont réguliers et parfois obligatoires.
Comment fonctionne le pentesting ?
Un test d’intrusion suit une méthode structurée. Il comprend généralement cinq étapes principales :
- Reconnaissance : collecte d’informations sur le système ciblé
- Analyse des vulnérabilités : identification des failles potentielles
- Exploitation : tentative d’exploitation des failles trouvées
- Maintien de l’accès : test de persistance dans le système (facultatif)
- Rapport : document détaillant les vulnérabilités, impacts et recommandations
Les testeurs s’appuient sur des méthodologies publiques plutôt que sur une recette maison : le Web Security Testing Guide de l’OWASP pour les applications web, le PTES ou la publication NIST SP 800-115 pour la conduite générale de la mission. Cela rend les résultats comparables d’une année sur l’autre.
Pentest, audit, scan, bug bounty, red team : ne pas confondre
- Scan de vulnérabilités : automatisé, il liste les failles connues à partir de signatures. Rapide et peu coûteux, il produit des faux positifs et n’exploite rien.
- Audit de sécurité : examen des configurations, des politiques et de la conformité, sans tentative d’intrusion.
- Pentest : exploitation réelle des failles sur un périmètre défini, dans une fenêtre de temps courte, généralement quelques jours à quelques semaines.
- Bug bounty : programme continu où des chercheurs externes sont rémunérés à la faille trouvée. Complémentaire d’un pentest, pas un substitut : la couverture n’est pas garantie.
- Red team : simulation d’attaque prolongée et furtive, qui teste aussi la détection et la réaction des équipes. Le pentest cherche les failles, la red team cherche à ne pas être vue.
Une organisation qui n’a jamais fait tester son système d’information commence rarement par une red team. L’ordre habituel va du scan régulier au pentest annuel, puis à la red team une fois que la détection existe et vaut la peine d’être éprouvée.
Le métier de pentester
Un pentester alterne technique et rédaction. La partie offensive occupe la mission, mais c’est le rapport qui est livré au client, et sa qualité détermine si les corrections seront faites.
Compétences attendues : réseaux et systèmes, sécurité applicative web et API, Active Directory, scripting en Python ou PowerShell, et la capacité à expliquer un risque technique à une direction non technique.
Les certifications les plus reconnues sur le marché français sont l’OSCP, orientée pratique, ainsi que le CEH, le GPEN et les certifications de red teaming pour les profils plus avancés. Côté prestataires, la qualification PASSI délivrée par l’ANSSI est souvent exigée par les administrations et les opérateurs soumis à des obligations réglementaires.
Le secteur financier a vu la demande croître avec l’entrée en application du règlement européen DORA, qui impose des tests de pénétration fondés sur la menace aux entités les plus critiques. Ces missions demandent des profils rares, ce qui allonge sensiblement les délais de recrutement.
Exemples ou cas d’usage concrets
Une entreprise qui développe une application de paiement fait appel à une équipe de pentesters avant la mise en production. Objectif : vérifier qu’aucune faille ne permet de modifier une transaction ou d’accéder aux données bancaires.
Un hôpital public réalise un pentest annuel sur son réseau interne : il vérifie si un utilisateur malveillant peut accéder aux dossiers médicaux ou au système de prescription.
Un groupe industriel teste la sécurité de ses systèmes SCADA. Ces technologies pilotent ses chaînes de production. Un pentest permet de simuler une intrusion sans interrompre les opérations.
Ces exemples montrent comment le pentesting s’adapte à chaque contexte métier. Il garantit un niveau de sécurité adapté aux actifs critiques de l’entreprise.