Comment se déroule un test d'intrusion ? Je veux maîtriser le processus de A à Z avant de demander des devis

Fuyez les prestataires qui prétendent boucler ça en deux jours. Dans 90 % des cas, ils se contentent de lancer un scanner automatique et d'exporter un PDF avec leur logo dessus. Pour auditer sérieusement les API et les interfaces développées par une équipe de 14 personnes en boîte grise, il faut compter au bas mot 5 à 7 jours ouvrés.

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

Pendant la phase préparatoire, pensez bien à demander les IP fixes des auditeurs. Vous devrez impérativement les ajouter en liste blanche sur vos pare-feux et votre WAF. Sinon, vos protections vont bloquer leurs adresses dès les premières minutes et vous allez perdre un temps précieux.

Quand vous comparez les devis, posez ces trois questions par écrit aux prestataires : 1) De quelles certifications du secteur dispose le personnel chargé des tests et est-ce bien eux qui vont les réaliser directement ? 2) La méthodologie de test est-elle calquée sur les normes internationales ? 3) Avons-nous droit à un contre-test de validation gratuit une fois les vulnérabilités corrigées ?

L'année dernière, on a fait appel à ce genre de prestation pour une infra similaire avec 2 applis web et 1 appli mobile. On a payé 65.000 TL, le test a duré 8 jours ouvrés. 12 failles trouvées au total, dont 3 d'élévation de privilèges. Nos devs ont mis 10 jours pour tout patcher, puis le re-test a pris 2 jours avant la clôture définitive du rapport.

la premiere fois qu'on a fait ca ils ont testé sur la base de données en prod c'etait le bordel complet avec les données de test. faites jamais tester sur la prod ou alors faites une copie conforme sur un env de staging sinon vous allez trop galérer.

Votre client exige l'intégralité du rapport de test ou simplement la synthèse managériale ? Transmettre au client un rapport technique détaillant l'ensemble des vulnérabilités présente un risque en matière de politique de sécurité, pensez à demander un format de synthèse décisionnelle lors de vos demandes de devis.

Faites absolument inscrire les plages horaires des tests et un contact d'urgence dans le contrat. En cas de blocage imprévu ou de surcharge du système, vous devez disposer d'une ligne directe pour faire stopper le test immédiatement sur un simple coup de fil.

si j'ai bien comprris vous dites que : Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

j'espère que cela vous sera utile.

J'ai travaillé longtemps sur ce sujet. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

C'est confirmé par l'expérience.

Ma question va paraître un peu novice, désolé d'avance. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Corrigez-moi si je me trompe.

J'écris cela pour éviter que vous ne fassiez la même erreur. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Tout va bien les trois premiers mois, les problèmes arrivent au quatrième. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je partage mon expérience. Le temps que vous mettez à détecter un problème détermine directement son coût.

Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

je suis d'accord en partie pas en partie. si vous grondez les faussses alertes, plus personne ne signalera rien.

c'est mon avis, je ne l'écris pas comme une vérité absolue.

Le point le plus souvent négligé concernant étapes processus test d'intrusion est : Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Essayer de faire cela seul est la voie la plus coûteuse. Bon courage.

pour entrer dans le détail : L'erreur commise du côté de étapes processus test d'intrusion est généralement réversible, mais coûteuse.

si vous grondez les fausses alertes, plus personne ne signalera rien. genre c'est confirrmé par l'expérience.

chez nous ça s'est passé comme ça. une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

j'espère que cela vous sera utile.