Audit de sécurité applicatif

Identifier les failles logicielles de votre structure : revue des codes sources et applications, simulation d'une cyber-attaque en mode black-box, puis pen test applicatif poussé.

L'audit de la partie métier / applicatif de votre département est crucial pour identifier les failles logicielles de votre structure. Il se compose de plusieurs parties : d'abord la revue des codes sources et applications, suivie de la simulation d'une cyber-attaque en mode black-box, pour conclure par un pen test applicatif poussé mené en connaissance des méthodes de développement et de l'architecture mise en place.

Certaines opérations (scanners de vulnérabilité, tests d'intrusion) ne sont menées qu'avec votre autorisation écrite préalable et dans un périmètre convenu.

Déroulé technique

Ce que couvre l'audit applicatif

Collecte de l'information

  • Vérifier la présence des machines et leur visibilité
  • Check et vulnérabilité des configurations système
  • Analyse de vulnérabilité automatique pour déterminer les meilleurs vecteurs d'attaque
  • Tentative d'exploitation des vulnérabilités
  • Informations sensibles laissées dans le cache du navigateur
  • Réinitialisation de mot de passe, ingénierie sociale, questions secrètes
  • Test des CAPTCHA, manipulation des rôles et privilèges
  • Recherche d'ancienne documentation et de fichiers exposés (codes sources, mots de passe, chemins d'installation)

Scan des ports & exploits

  • Identification des ports associés aux services
  • Examen de la méthode HTTP
  • Test des URL en zone restreinte
  • Variables de session, réutilisation du jeton, proxy et cache (GET & POST)
  • Test de l'attribut cookie via des proxies d'interception

Tests applicatifs avancés

  • Injection SQL (sqlninja, sqldumper…)
  • Tentatives de session hijacking
  • Analyse du code HTML, XSS stockés
  • Injection LDAP (informations utilisateurs et hôtes)
  • Injection IMAP / SMTP (serveur de messagerie backend)
  • Injection XPATH (informations confidentielles)
  • Test de déni de service (DDoS)

Recommandations & rapport

  • Recommandations d'assainissement
  • Production du rapport final
  • Restitution et échange avec vos équipes IT

Module offensif

Simulation d'une cyber-attaque

La collecte d'information

La collecte d'information sur votre entreprise et la détection des points sensibles de votre infrastructure sont le point de départ de l'investigation. La cartographie du système d'information et de ses accès externes rassemble les éléments nécessaires au test de vulnérabilités.

Nous déterminons les vecteurs d'attaque à analyser :

  • Systèmes de messagerie
  • VPN
  • Applications mobiles et web
  • Utilisateurs ayant accès au réseau de l'entreprise

Bypasser les sécurités en place

Nous menons ensuite plusieurs attaques afin d'accéder à votre réseau, comme le ferait un attaquant réel.

Pen test

Tests d'intrusion « black-box »

Les tests d'intrusion en mode black-box sont réalisés sans l'aide de votre personnel ni information sur l'architecture de votre système d'information. Ils donnent une première vue des forces et faiblesses de votre système face à une attaque externe.

  • Prise d'information sur le système d'information
  • Cartographie des systèmes (serveurs et applicatif)
  • Identification des socles logiciels et frameworks utilisés
  • Cartographie des applications disponibles
  • Pen test applicatif
  • Comparatif des failles connues en rapport avec vos applications

Des conclusions actionnables

Les conclusions sont remises au terme de l'exercice — d'une durée moyenne de cinq à huit jours — et fournissent de précieuses informations à vos équipes IT pour sécuriser votre infrastructure logicielle et système.

Demander nos conditions

Aussi disponible

Les autres sous-audits

Organisation des équipes IT

Structure, rôles et méthodes de gestion de projet : optimiser le fonctionnement de votre département informatique.

Découvrir

Audit de développement

Code source, standards, gestion des sources et déploiements : la clé d'un développement plus fiable et productif.

Découvrir

Audit d'infrastructure

Serveurs, OS et patching, réseau (VLAN, firewall), logs et gestion des accès de votre infrastructure.

Découvrir

Testez votre résistance

Simulation d'attaque ou pen test : cadrons ensemble le périmètre et vos objectifs.

Demander un devis gratuit Appelez-nous