Nos clients demandent un rapport de test d'intrusion réseau, qu'est-ce qui est vérifié exactement sur notre infra ?

Regardez bien le questionnaire sécurité transmis par vos clients : ils demandent un test « externe » ou « interne » ? Les grands comptes envoient souvent leurs formulaires types sans adapter. Si vos API traitant les données clients et vos services web tournent uniquement sur vos serveurs cloud, vous pouvez exclure le réseau de votre bureau physique du périmètre pour faire baisser la facture.

Les points clés qui seront vérifiés : ports SSH et RDP laissés ouverts sur le web, suites cryptographiques du serveur VPN, failles de transfert de zone DNS et versions obsolètes des serveurs web. Les pentesters ne vont pas crasher vos machines : dès qu'ils trouvent une faille, ils prennent une capture d'écran comme preuve de concept (PoC) avant d'aller plus loin dans l'élévation de privilèges ou l'accès aux données, puis ils s'arrêtent là.

On a eu exactement la même demande l'an dernier. Pour notre infra de 4 serveurs à Moscou, on a payé 180.000 RUB. Les tests ont duré 4 jours ouvrés, et la rédaction du rapport 3 jours. Ils ont trouvé 2 failles d'autorisation moyennes et une lib pas à jour. On a patché, ils ont relancé une vérification rapide, et notre client a validé le rapport direct.

Méfiez-vous des devis au rabais entre 50.000 et 70.000 RUB. La plupart se contentent de lancer un scanner de vulnérabilités automatique et vous livrent le PDF brut en guise de rapport. Les auditeurs sécu des grands comptes grillent direct ce genre de scan superficiel et vont vous le refuser.

Avant de signer le contrat, verrouillez impérativement ces trois clauses par écrit : 1) Tests effectués hors heures ouvrées et alignés sur vos plannings de sauvegarde, 2) Notification d'urgence immédiate en cas de découverte d'une vulnérabilité critique, 3) Un re-test gratuit sous 30 jours après l'application de vos correctifs.

faites un snapshot complet de toutes vos vms juste avant le début du test, c'est indispensable. et surtout evitez tout gros deploiement ou mise a jour de prod pendant les jours du test sinon ca va pourrir les logs de trafic.

N'hésitez pas à demander les certifications professionnelles des consultants qui vont auditer votre infra. Le fait que les techniciens détiennent des titres reconnus à l'international en hacking éthique ou sécurité réseau facilite grandement la validation de votre dossier auprès du comité de sécurité de votre client.

C'est noté, merci.

Chez nous, ça s'est passé comme ça. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Avant de décider, regardez quelles données vous avez en main. C'est confirmé par l'expérience.

Sujet très actuel.

Il faut faire une distinction ici. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Bien sûr, cela change si votre situation est différente.

Je me permets une petite mise en garde. Une sauvegarde non testée n'est pas une sauvegarde.

Essayer de faire cela seul est la voie la plus coûteuse. À votre place, j'irais par cette voie.

Pourriez-vous préciser un peu ? La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Voilà, désolé si je me suis étendu.

Vous avez raison. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je suis entièrement d'accord. Le temps que vous mettez à détecter un problème détermine directement son coût.

Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je me pose aussi la question. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Le temps que vous mettez à détecter un problème détermine directement son coût. Je le note au cas où.

Je suis passé par là laissez-moi vous raconter. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

C'est confirmé par l'expérience.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.