On nous demande un test de pénétration — c'est quoi la diff avec un test d'intrusion, lequel choisir ?

La vieille technique commerciale du secteur : tu l'écris en turc ça vaut 35 000 lires, tu balances un mot en anglais ça passe à 65 000 lires. S'ils avaient rajouté une ligne « ethical hacking », ils vous facturaient 100 000 sans sourciller. Fuyez cette boîte au plus vite.

La vraie nuance dans le milieu, c'est entre le scan d'outils automatiques et l'exploitation manuelle. Le scan automatique sonde les ports et sort un rapport brut. En pentest, le hacker éthique pousse chaque faille trouvée jusqu'au bout. Votre client voudra obligatoirement un rapport d'intrusion qui montre la phase d'exploitation et d'élévation de privilèges.

Que dit exactement le cahier des charges d'audit envoyé par votre client ? En général, les grands comptes imposent un test d'intrusion certifié TSE ou une méthodologie spécifique. Et vous avez combien d'IP publiques et de serveurs internes à auditer au total ?

On a passé un audit fournisseur similaire. On a fait faire un test d'intrusion pour 16 IP externes et 2 portails web. On a payé 38.000 TL, la mission a duré 4 jours ouvrés et on a reçu un rapport technique de 32 pages avec preuves de concept. Le constructeur a validé le rapport direct.

Posez ces trois questions aux prochaines boîtes que vous contactez : 1) Le test inclut-il une phase d'exploitation manuelle ? 2) Quel est le périmètre exact ? 3) Est-ce qu'un contre-test (re-test) gratuit est inclus après correction des failles ? Travaillez uniquement avec ceux qui répondent clairement.

c'est exactement la meme chose... franchement ils ont gonflé le prix juste pcq le mot fait plus pro en anglais payez surtout pas le tarif fort et demandez deux autres devis ailleurs et vous allez vite comprendre.

Attention à un point sur le rapport : une fois le test fini, on vous laisse généralement 15 à 30 jours pour corriger les vulnérabilités. Ensuite, le prestataire doit repasser pour valider les correctifs et sortir un rapport de clôture final. Vérifiez bien que cette phase de re-test est comprise dans le prix du devis.

par conttre pendant qu'ils font le test est-ce qu'il y a un risque que nos serveurs plantent ou que la production s'arrête ? si notre serveur comptable freeze, toute notre facturation est bloquée.

Si j'ai bien compris vous dites que : Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Si la double authentification est activée, un mot de passe volé seul ne suffit pas. C'est mon avis, je ne l'écris pas comme une vérité absolue.

Merci beaucoup cela m'a été très utile. Aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger.

Les gens défendent l'habitude pas le processus. La résistance vient de là. C'est mon avis, je ne l'écris pas comme une vérité absolue.

C'est une bonne idée d'avoir ouvert ce sujet.

Je suis d'accord... Prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir.

Je le note au cas où.

Je suis d'accord. Aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

J'ai travaillé longtemps sur ce sujet. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Ce sujet est archivé. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je vais défendre l'opposé, ne m'en veuillez pas. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je suis aussi curieux de savoir si d'autres font autrement.

Je trouve difficile d'être aussi catégorique côté qu'est-ce qu'un test de penetration. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Je le note au cas où.

Je vais résumer le sujet car plusieurs réponses différentes ont été données. Si vous obtenez trois réponses différentes sur un sujet la question est mal posée.