Scan de vulnérabilités et test d'intrusion, est-ce la même chose et lequel suffit pour nous ?

Les scanners automatiques génèrent énormément de faux positifs. C'est-à-dire qu'ils peuvent remonter comme faille critique un truc qui ne pose aucun risque réel sur votre système. Ou à l'inverse, passer totalement à côté de failles complexes comme le contournement d'une double authentification. La différence de tarif, c'est le temps de travail de l'expert.

Si vous prenez le scan à 12.000 TL, ils vont juste vous envoyer un rapport brut en anglais de 80 pages généré par un outil du marché. Il faudra encore payer des heures de dev pour comprendre et trier ce qu'il y a dedans.

On a fait cette connerie il y a deux ans on a pris un rapport de scan pcq c'était pas cher. Le truc indiquait 15 alertes rouges notre dev a regardé et en fait 12 n'étaient que des alertes sur des ports fermés... On a paniqué pour rien et gaspillé notre argent.

Pour bien faire la part des choses, voici les deux différences clés : 1) Le scan de vulnérabilités se fait en quelques heures avec des outils automatiques et se limite à lister. 2) Le test d'intrusion prend plusieurs jours, exploite réellement la faille trouvée pour tenter d'accéder à la base de données et apporte des preuves concrètes.

On a fait un pentest sur notre site le mois dernier. Sur la page profil utilisateur, où le scan auto n'avait rien vu, ils ont trouvé une faille d'autorisation permettant de voir les adresses et commandes d'autres clients. Les scanners n'auraient jamais pu voir ça.

Vous pouvez toujours payer 12.000 TL pour vous offrir une pastille verte rassurante. Vous dormirez mieux, mais le jour où les données bancaires fuiteront de votre site, ce n'est pas ce rapport de scan qui calmera vos clients.

Pour résumer : si le budget est ultra serré, faire un scan c'est toujours mieux que rien, mais ça ne garantira jamais la sécurité de votre code maison. Dans l'e-commerce, un pentest à 55.000 TL n'est pas une dépense inutile, c'est directement une police d'assurance.

Exactement, et ce n'est pas si connu que ça. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Corrigez-moi si je me trompe.

Ce qui est écrit correspond exactement à ce que nous avons vécu. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué. C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je suis d'accord.

Pour entrer dans le détail : Avant de décider, regardez quelles données vous avez en main.

À votre place, j'irais par cette voie.

j'aimerais poser une question mais la réponse varie beaucoup selon le secteur il n'y a pas de règgle générale.

à votre place j'irais par cete voie.

Séparons les concepts ils sont souvent confondus. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Je suis aussi curieux de savoir si d'autres font autrement.

Trois avis différents sont sortis, ils se complètent tous. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher. C'est confirmé par l'expérience.

Mes doutes sont levés, merci. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

C'est globalement vrai, mais il manque un point. Essayer de faire cela seul est la voie la plus coûteuse.

Je n'ai aucune expérience en definition scan de vulnerabilites, c'est pourquoi je pose la question. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Je suis aussi curieux de savoir si d'autres font autrement.

Il est rare de trouver un texte qui explique les choses aussi clairement.