Test d’intrusion (pentest)
pentest · penetration test · test de pénétration · audit d’intrusion · pentesting
Attaque simulée, menée par des spécialistes mandatés, pour découvrir les failles d’un système avant qu’un vrai attaquant ne les exploite.
En pratique
Le testeur reproduit la démarche d’un attaquant (reconnaissance, recherche de vulnérabilités, exploitation contrôlée) dans un périmètre et une période fixés à l’avance, puis remet un rapport qui classe chaque faille par gravité, prouve son impact et propose une correction. En France, s’introduire dans un système sans l’accord de son propriétaire est un délit (art. 323-1 du Code pénal : jusqu’à 3 ans de prison et 100 000 € d’amende) : un pentest exige donc toujours une autorisation écrite du propriétaire du système. Pour les besoins sensibles, l’ANSSI qualifie des prestataires d’audit (PASSI).
Cas fictif : une PME de 80 salariés fait tester son extranet client. En trois jours, l’auditeur découvre qu’un compte de démonstration oublié donne accès aux factures de tous les clients. La correction prend une heure ; une fuite aurait imposé une notification à la CNIL et coûté la confiance des clients.
