Rapport de test d'intrusion : sous combien de jours doit-il être livré et que doit-on voir sur un exemple de rapport ?

Regardez surtout la partie 'PoC' (Proof of Concept) sur l'exemple de rapport. Dans un vrai pentest, une fois la faille trouvée, l'auditeur doit prouver par capture d'écran qu'il a pu extraire des données sans autorisation ou exécuter du code. Ne perdez pas votre temps avec des boîtes qui ne nettoient même pas les faux positifs générés par leurs scanners automatiques.

Faites absolument insérer ces clauses dans le contrat de prestation : 1) En cas de découverte d'une faille critique ou élevée, notification intermédiaire par e-mail sous 24 heures, 2) Remise du rapport préliminaire au plus tard 5 jours ouvrés après la fin des tests, 3) Réalisation d'un contre-test de validation (re-test) gratuit unique dans les 30 jours suivant la correction des failles.

Le mois dernier, on a fini nos tests mobile et API. Les tests techniques se sont achevés le vendredi soir, et le mardi matin on avait le rapport préliminaire entre les mains. Il y avait 4 failles critiques ; notre équipe de dev les a corrigées en 10 jours, et le lendemain le prestataire a fait le re-test pour nous sortir le rapport final validé. Attendre 15 jours ouvrés pour un rapport, ça bloque tout votre calendrier de correction.

À la boîte qui demande 15 jours ouvrés, imposez une clause de 'remontée quotidienne intermédiaire pour les failles critiques'. S'ils refusent, éliminez-les direct. Si pendant le pentest ils tombent sur une injection SQL ou une exécution de code à distance, attendre deux semaines sans patcher, c'est du suicide commercial.

Attention, parmi ceux qui livrent un rapport en 3 jours certains ne rédigent rien pendant les tests : ils cliquent juste sur 'exporter en PDF' sur leur scanner automatique et collent votre logo sur la page de garde. La rapidité c'est bien, mais vérifiez sur l'exemple de rapport s'il est rédigé à la main avec de vraies analyses adaptées à votre équipe.

une boite qui refuse de montrer un exemple de rapport, faut meme pas s'asseoir a la table avec eux. signer sans savoir ce qu'il y aura dedans c'est mort. les boites pro ont deja des modeles anonymises prets sous le coude avec l'accord de leurs clients.

Faites aussi très attention au délai accordé pour le 're-test' dans le contrat. Une fois le rapport reçu, il vous faudra du temps pour boucher les failles. Que le prestataire s'engage à réauditer gratuitement vos systèmes pendant au moins 30 ou 45 jours après la remise du rapport est indispensable pour le bon déroulement du projet.

si le test dure 5 jours mais qu'il leur faut 15 jours pour le rapport, c'est sûrement que l'ingénieur qui a fait l'audit est déjà occupé à pirater le serveur d'un autre client au lieu de rédiger. bon si vous avez une faille critique les bots d'analyse sur le net l'auront trouvée bien avant que vous ne l'appreniez deux semaines plus tard.

Absolument. Si j'ajoute quelque chose : Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. Je le note au cas où.

Désolé, mais ce n'est pas vrai dans tous les cas. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

J'ai une objection à faire ici. Avant de décider, regardez quelles données vous avez en main.

Avant de décider, regardez quelles données vous avez en main. Je suis aussi curieux de savoir si d'autres font autrement.

C'est noté, merci.

Sujet très actuel. Plus il est difficile de revenir sur une décision plus il faut la prendre lentement.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

J'aimerais poser une question. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

vous avez raison.. mais plus il est difficile de revenir sur une décision plus il faut la prendre lentement.

j'aimerais poser une question puis si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

ne comptez pas sur une seule mesure de sécurité ; allez par couches... du coup si vous avez des questions écrivez-moi je répondrai au mieux.

Merci beaucoup, je teste dès aujourd'hui. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. Bon courage.

Beau travail.