Contactez-nous

Méthodologies de test d'intrusion

Présentation de diverses méthodologies et guides de test d'intrusion, y compris les guides OWASP, PTES, PCI DSS, PTF, NIST 800-115 et OSSTMM.

Résumé

Guides de test OWASP

En termes d'exécution technique des tests de sécurité, les guides de test OWASP sont fortement recommandés. En fonction des types d'applications, les guides de test sont répertoriés ci-dessous pour les services web/cloud, les applications mobiles (Android/iOS) ou les micrologiciels IoT, respectivement.

Norme d'exécution des tests de pénétration

La norme d'exécution des tests de pénétration (PTES) définit les tests de pénétration en 7 phases. En particulier, les directives techniques PTES fournissent des suggestions pratiques sur les procédures de test et des recommandations pour les outils de test de sécurité.

  • Interactions de pré-engagement
  • Collecte de renseignements
  • Modélisation des menaces
  • Analyse des vulnérabilités
  • Exploitation
  • Post-exploitation
  • Rapport

Directives techniques PTES

Guide de test d'intrusion PCI

La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) Exigence 11.3 définit le test d'intrusion. PCI définit également des directives de test d'intrusion.

Array

Array

Cadre de test d'intrusion

Le cadre de test d'intrusion (PTF) fournit un guide pratique complet de test d'intrusion. Il répertorie également les utilisations des outils de test de sécurité dans chaque catégorie de test. Le principal domaine des tests de pénétration comprend :

  • Empreinte réseau (reconnaissance)
  • Découverte et sondage
  • Enumération
  • Craquage de mot de passe
  • Evaluation des vulnérabilités
  • Audit AS/400
  • Tests spécifiques à Bluetooth
  • Tests spécifiques à Cisco
  • Tests spécifiques à Citrix
  • Dorsale réseau
  • Tests spécifiques au serveur
  • Sécurité VoIP
  • Pénétration sans fil
  • Sécurité physique
  • Rapport final - modèle

Cadre de test d'intrusion

Guide technique pour les tests et l'évaluation de la sécurité de l'information

Le guide technique pour les tests et l'évaluation de la sécurité de l'information (NIST 800-115) a été publié par le NIST, il comprend certaines techniques d'évaluation énumérées ci-dessous.

  • Techniques de revue
  • Techniques d'identification et d'analyse des cibles
  • Techniques de validation de la vulnérabilité des cibles
  • Planification de l'évaluation de la sécurité
  • Exécution de l'évaluation de la sécurité
  • Activités post-test

Le NIST 800-115 est accessible ici

Manuel de la méthodologie de test de sécurité open source

Le manuel de la méthodologie de test de sécurité open source (OSSTMM) est une méthodologie pour tester la sécurité opérationnelle des emplacements physiques, du flux de travail, des tests de sécurité humaine, des tests de sécurité physique, des tests de sécurité sans fil, des tests de sécurité des télécommunications, des tests de sécurité des réseaux de données et de la conformité. OSSTMM peut être une référence de soutien de la norme ISO 27001 au lieu d'un guide pratique ou technique de test d'intrusion d'application.

OSSTMM comprend les sections clés suivantes :

  • Analyse de la sécurité
  • Mesures de sécurité opérationnelle
  • Analyse de la confiance
  • Flux de travail
  • Tests de sécurité humaine
  • Tests de sécurité physique
  • Tests de sécurité sans fil
  • Tests de sécurité des télécommunications
  • Tests de sécurité des réseaux de données
  • Réglementations de conformité
  • Rapports avec le STAR (Security Test Audit Report)

Manuel de la méthodologie de test de sécurité open source

Références