Quelles ressources sont vraiment fiables pour apprendre le test d'intrusion — par où commencer ?

Ne vous lancez pas dans le pentest sans maîtriser la couche réseau. Le handshake TCP en 3 étapes, le DNS poisoning, le protocole ARP et les méthodes de requêtes HTTP doivent être compris à fond. Apprendre à intercepter le trafic entre le navigateur et le serveur avec un proxy pour modifier les paquets à la main, c'est vraiment la base de départ.

Voici l'ordre de travail que je conseille : 1) Ligne de commande Linux et bases de scripting. 2) Guides des standards ouverts de sécurité web. 3) Labs de vulnérabilités dans le navigateur. 4) Outils d'interception et d'analyse locale du trafic réseau. 5) Templates professionnels de rapports de pentest.

En passant d'admin sys à la sécu, j'ai fait 600 heures de pratique la première année. J'ai dépensé seulement 8.000 TL de mon budget dans des labs en ligne. Dès que j'ai appris à lire le code plutôt que d'utiliser des outils automatisés, ça a tout changé en entretien d'embauche. Pas besoin de formations hors de prix.

fuyez les formations aux outils automatiques sur le net. ceux qui lancent juste un scanner et collent le résultat dans un rapport trouvent zéro taf. sans comprendre le mécanisme de base on peut pas détecter de failles.

La plupart des formations en turc à 30-40 mille lires sont des attrapes-nigauds. Ils ne font que lire des slides mal traduits de docs open source et de standards internationaux. Gardez votre argent pour de vrais examens pratiques reconnus mondialement plutôt que pour ces formations.

Votre profil d'admin système est un énorme avantage selon moi. J'avais commencé directement par les outils de sécu et comme je ne maîtrisais pas l'archi réseau j'ai mis des mois à piger ce que signifiaient concrètement les failles dans les rapports.

Installez dès aujourd'hui un hyperviseur sur votre PC, collez-y une distrib Linux et déployez une appli web open source volontairement vulnérable. Commencez à vous entraîner en local sur des injections SQL et de l'élévation de privilèges.

Vous avez raison.

le point le plus souvent négligé concernant ressources test d intrusion est : N'hésitez pas à demander celui qui ne demande pas paie toujours plus cher.

prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir. franchement si vous avez des questions, écrivez-moi je répondrai au mieux.

Je ne savais pas ça.

Je suis du même avis. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

À votre place, j'irais par cette voie.

ce qui est écrit correspond exactement à ce que nous avons vécu puis franchement une modification des coordonnées bancaies n'est jamais confirmée par le canal d'origine.

voilà désolé si je me suis étendu.

je ne savais pas ça mais bref tout va bien les trois premiers mois les problèmes arrivent au quatrième.

si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Résumé rapide pour les nouveaux : Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Bon courage.

Je vais résumer le sujet car plusieurs réponses différentes ont été données. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. Bien sûr, cela change si votre situation est différente.

Je suis d'accord j'aimerais même souligner ce point. Lors de la prise de décision écrivez aussi le pire scénario pas seulement le meilleur.

Je le note au cas où.

Je suis intéressé.

la discussion part dans tous les sens, je recentre. la sécurité n'est pas absolue ; c'est renddre l'attaque trop coûteuse pour valoir l'effort.

si vous avez des questions, écrivez-moi, je répondrai au mieux.