On nous propose des analyses de vulnérabilités automatisées — est-ce que ça remplace un test d'intrusion, ou c'est autre chose ?

Les outils de scan regardent les codes de statut HTTP et les signatures CVE connues. Par exemple, aucune outil automatisé ne peut attraper des failles de logique métier comme un utilisateur qui met le montant de son panier en négatif et valide la commande sur votre portail B2B. C'est pour ça que le test manuel est indispensable.

Lisez mot pour mot le cahier des charges que votre client vous demande. C'est écrit 'penetration testing' ou 'vulnerability assessment' ? Si le client est corporate, le jour où vous leur donnez un rapport de scan automatisé, ils vous remettent le contrat devant et demandent un pentest, et vos 1 400 EUR sont foutus.

Avant de décider, suivez cet ordre : 1) Demandez à l'équipe conformité du client le format de rapport qu'ils acceptent. 2) Terminez les mises à jour de l'OS et des bibliothèques sur votre serveur avec l'équipe interne. 3) Orientez le budget restant vers un test manuel ciblé qui couvre uniquement les endpoints API critiques.

L'année dernière on a fait la même erreur pour un client basé à Madrid. On a payé 1 100 EUR et présenté un rapport de scan automatisé. L'équipe d'audit a refusé deux jours plus tard en disant 'c'est juste une sortie d'outil, pas de preuve d'exploitation'. On a dû lâcher 3 000 EUR de plus pour faire un test manuel.

Ce que le cabinet propose à 1 400 EUR c'est probablement juste taper votre nom de domaine dans un logiciel de scan commercial et cliquer sur 'démarrer'. Ils vous sortiront un PDF de 40 pages avec des graphiques colorés. Avant de payer ça, vous pouvez faire un scan similaire vous-même avec des outils open source.

Est-ce que vous stockez des données de paiement ou des données personnelles sensibles sur votre portail ? Et aussi, c'est quoi exactement la réglementation à laquelle votre client est soumis ? Certains marchés publics en Espagne exigent directement un rapport de pentest accrédité selon la norme ENS.

On confond très souvent les deux concepts, ne vous en faites pas. Le scan automatisé c'est comme une prise de sang ça montre l'état général. Le test d'intrusion c'est le chirurgien qui intervient et trouve le vrai problème. Si vous voulez convaincre votre client, le chirurgien est indispensable.

moi je dis demandez direct au client s'ils attendent un rapport de pentest ou si un scan de vulnérabilités suffit et dépensez pas 3500 euros pour rien si c'est juste un document de scan pour la forme.

Je suis intéressé.

Sujet très actuel.

Je suis d'accord, j'aimerais même souligner ce point. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Commencez par un petit test, ne vous engagez pas sur tout d'un coup. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Enregistré.

Vous avez raison.

Je suis dans la même situation, c'est pourquoi je pose la question. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Je le note au cas où.

Désolé, mais ce n'est pas vrai dans tous les cas. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Exactement, et ce n'est pas si connu que ça. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Corrigez-moi si je me trompe.

Je suis d'accord.

Exact.