On va recevoir notre premier rapport de pentest : que doit contenir un bon rapport et à quoi faut-il faire attention ?

Vérifiez la logique de notation CVSS pour chaque faille. Une simple étiquette globale du style « Critique » ou « Moyen » ne suffit pas. Le vecteur d'attaque doit être clairement détaillé et accompagné de corps de requêtes ou de commandes PoC prouvant que la faille est réellement exploitable. Sans ça, vos devs vont devoir corriger à l'aveugle.

Dès que le rapport arrive sur votre bureau, vérifiez ces trois points : 1) Le périmètre a-t-il été respecté ou tous les sous-domaines prévus au contrat ont-ils bien été testés ? 2) Chaque faille est-elle reproductible étape par étape ? 3) Les recommandations de correction sont-elles adaptées à votre OS et à vos frameworks/librairies ?

edit : j'ai écrit une erreur ci-dessus, désolé.

À Paris, lors de notre premier test payé 5.200 euros, on a reçu 48 failles. En creusant, on s'est rendu compte que 22 d'entre elles n'étaient que de simples bannières de version sans importance sur le serveur. On a contesté, fait le tri, et on s'est concentrés sur les 6 vraies failles critiques. Ce qui fait la valeur d'un rapport, ce n'est pas son nombre de pages, mais le nombre de failles critiques réellement qualifiées.

Quand vous recevez le rapport, faites une réunion avec votre dev. Essayez de reproduire vous-mêmes dans l'environnement de dév les deux failles les plus prioritaires en suivant les étapes décrites. Si le dev n'arrive pas à reproduire le bug avec les explications fournies, c'est que le rapport est incomplet : demandez une démo en direct à l'auditeur.

nous sur notre premier rapport on a paniqué en voyant des pages entières d'alertes ssl alors qu'en fait c'était juste le scanner auto qui avait tout craché. genre le gars avait meme pas testé une seule injection api à la main. un rapport sans screens ni payloads valides renvoyez-le direct franchement.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Vous aviez défini un périmètre en black-box ou en white-box au moment de signer ? Si vous avez fourni le code source ou un compte de test à l'auditeur, le rapport doit documenter des failles logiques d'élévation de privilèges bien plus poussées. Vos attentes envers le rapport dépendent directement du type de test choisi.

La plupart des boîtes rangent le rapport de pentest au placard dès réception. Ce qui est tout aussi important que la qualité du doc, c'est de savoir si vous avez droit à une phase de re-test après correction. Si la contre-vérification n'est pas incluse, ce rapport ne restera qu'un état des lieux très cher payé.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Je suis aussi curieux de savoir si d'autres font autrement.

Trois avis différents sont sortis, ils se complètent tous. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

J'espère que cela vous sera utile.

Si vous partez dans cette direction, réglez cela dès le départ. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Bon courage.

Ce sujet est archivé.

c'est noté merci.

Vous avez raison, je suis aussi passé par là. franchement ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Corrigez-moi si je me trompe.

pensez-vous que cela fonctionne à toutes les échelles ? si vous obtenez trois réponses différentes sur un sujet la qestion est mal posée.

la répnse varie beaucoup selon le secteur il n'y a pas de règle générale. genre bon courage.

Vous avez raison.

Il y a une erreur fréquente à commettre en faisant cela. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement. Si vous avez des questions écrivez-moi je répondrai au mieux.

Sujet très actuel.

je suis d'accord j'aimerais même souligner ce point. aucun processus sans suii ne s'améliore car vous ne savez pas quoi corriger.

la réponse varie beaucoup selon le secteur il n'y a pas de règle généraale puis c'est mon avis, je ne l'écris pas comme une vérité absolue.