Tests d'intrusion

Aperçu

Les tests d'intrusion sont une technique courante utilisée pour tester la sécurité des réseaux depuis des décennies. Ils sont également communément appelés tests en boîte noire ou piratage éthique. Les tests d'intrusion sont essentiellement l'"art" de tester un système ou une application à distance pour trouver des vulnérabilités de sécurité, sans connaître le fonctionnement interne de la cible elle-même. En règle générale, l'équipe de test d'intrusion est capable d'accéder à une application comme si elle était un utilisateur. Le testeur agit comme un attaquant et tente de trouver et d'exploiter des vulnérabilités. Dans de nombreux cas, le testeur se verra attribuer un ou plusieurs comptes valides sur le système.

Bien que les tests d'intrusion se soient avérés efficaces en matière de sécurité réseau, la technique ne se traduit pas naturellement par des applications. Lorsque des tests d'intrusion sont effectués sur des réseaux et des systèmes d'exploitation, la majorité du travail consiste à trouver, puis à exploiter, des vulnérabilités connues dans des technologies spécifiques. Comme les applications web sont presque exclusivement personnalisées, les tests d'intrusion dans le domaine des applications web s'apparentent davantage à de la recherche pure. Certains outils de test d'intrusion automatisés ont été développés, mais compte tenu de la nature personnalisée des applications web, leur efficacité seule peut être médiocre.

De nombreuses personnes utilisent les tests d'intrusion des applications web comme principale technique de test de sécurité. Bien qu'elle ait certainement sa place dans un programme de test, nous ne pensons pas qu'elle doive être considérée comme la technique de test principale ou unique. Comme Gary McGraw l'a écrit dans Software Penetration Testing, "En pratique, un test d'intrusion ne peut identifier qu'un petit échantillon représentatif de tous les risques de sécurité possibles dans un système." Cependant, les tests d'intrusion ciblés (c'est-à-dire les tests qui tentent d'exploiter des vulnérabilités connues détectées lors d'examens précédents) peuvent être utiles pour détecter si certaines vulnérabilités spécifiques sont réellement corrigées dans le code source déployé.

Avantages

• Peut être rapide (et donc peu coûteux)
• Nécessite un ensemble de compétences relativement inférieur à celui de la revue de code source
• Teste le code qui est réellement exposé

Inconvénients

• Trop tard dans le SDLC
• Tests d'impact frontal uniquement