Un test d'intrusion est une simulation d'attaque autorisée. Un client engage un testeur pour s'introduire dans ses systèmes, réseaux ou applications. Le testeur utilise les mêmes techniques qu'un véritable attaquant : reconnaissance, exploitation, élévation de privilèges et déplacement latéral. La différence réside dans les autorisations et la documentation. Tout se déroule dans un périmètre défini, avec des règles d'engagement et un contrat signé. À la fin, le client reçoit un rapport détaillé des failles découvertes et des mesures correctives à mettre en œuvre.

Il existe différents types de tests. Les tests en boîte noire ne fournissent aucune information préalable au testeur, simulant ainsi une attaque externe. Les tests en boîte blanche offrent un accès complet au code source et à l'architecture, permettant de déceler des failles plus profondes. Les tests en boîte grise se situent entre les deux. Les tests d'applications web se concentrent sur les injections SQL, les attaques XSS (Cross-Site Scripting) et les failles d'authentification. Les tests réseau examinent les pare-feu, la segmentation et les services exposés. Les tests d'ingénierie sociale ciblent les utilisateurs par le biais du phishing et de la manipulation. Un test d'intrusion est un instantané. Il identifie les vulnérabilités à un moment précis. Il ne remplace ni la surveillance continue ni le développement sécurisé. Il permet de vérifier l'efficacité des défenses ou de mettre en évidence leurs failles.

types de tests d'intrusion

• Boîte noire — aucune connaissance préalable, perspective externe
• White-box — accès complet, couverture plus approfondie
• Boîte grise — connaissance partielle, équilibre réaliste
• Application Web — axée sur les logiciels destinés au Web
• L'ingénierie sociale cible les personnes, pas les systèmes.

Un test d'intrusion sans mesures correctives est un gaspillage d'argent. Le rapport n'a d'importance que si quelqu'un y donne suite.