Analyse des vulnérabilités, test d'intrusion, audit de sécurité ou EASM : quelle méthode choisir ?
Ce texte a été généré par l'intelligence artificielle (IA).
L'essentiel en bref
Un scan de vulnérabilités recherche automatiquement, dans le périmètre technique défini, les failles connues et les configurations suspectes.
Un test d'intrusion vérifie, dans le cadre d'une autorisation claire et d'une portée convenue, si et comment certaines vulnérabilités sélectionnées peuvent être exploitées ou combinées dans la pratique.
Un audit de sécurité évalue les justificatifs, les processus et les contrôles au regard de critères définis ; des tests techniques peuvent faire partie de l'audit.
L'EASM observe régulièrement la surface d'attaque externe dans une perspective « outside-in » et facilite l'identification et la hiérarchisation des menaces.
Ces méthodes répondent à des questions différentes. Il est souvent judicieux de les combiner lorsque le périmètre et les transferts sont définis à l'avance.
La question décisive précède la méthode
Le choix entre un scan de vulnérabilités, un test d'intrusion, un audit de sécurité et la gestion de la surface d'attaque externe ne commence pas par le nom d'un produit. Il commence par la question à laquelle il faut répondre. Recherchez-vous des failles techniques connues au sein d’un parc informatique défini ? Souhaitez-vous vérifier si un système critique peut être exploité dans la pratique ? Avez-vous besoin de preuves pour justifier la mise en œuvre de contrôles définis ? Ou bien ne disposez-vous pas d’une vue d’ensemble à jour des actifs accessibles au public ?
La norme NIST SP 800-115 classe les tests et analyses techniques en fonction de leur objectif, de leur planification, de leur mise en œuvre et de leur évaluation. Ce guide met l'accent sur les avantages et les limites des différentes techniques. Le BSI distingue lui aussi différents niveaux de profondeur d'audit et souligne que les méthodes actives peuvent perturber le fonctionnement des systèmes. Il en découle une règle fondamentale en matière d'approvisionnement : le niveau de profondeur de l'audit et l'autorisation doivent être adaptés aux besoins en informations et au risque opérationnel.
Ces quatre méthodes ne s'inscrivent pas sur une simple échelle allant de « faible » à « fort ». Un audit répond à une question différente de celle d’un test d’intrusion. L’EASM a une dimension temporelle différente de celle d’un scan ponctuel. Un scan automatisé peut vérifier régulièrement un large ensemble d’éléments connus, tandis qu’un test manuel examine plus en profondeur des vecteurs d’attaque sélectionnés.
Avant de procéder à la sélection, définissez donc le périmètre, les biens à protéger, la décision attendue, les interventions autorisées et le format de résultat souhaité. La matrice suivante sert de cadre de référence et ne remplace en aucun cas un cahier des charges spécifique au projet.
critère
Analyse des vulnérabilités
Test d'intrusion
Audit de sécurité
EASM
Question centrale
Quelles faiblesses techniques ou anomalies de configuration connues sont détectées par Scope ?
Certaines faiblesses peuvent-elles être exploitées ou combinées de manière pratique dans des conditions convenues ?
Les exigences et les contrôles définis ont-ils été mis en œuvre de manière traçable ?
Quels sont les actifs et les expositions visibles de l'extérieur qui évoluent ?
Portée type
Hôtes, applications ou réseaux connus
Systèmes, applications ou scénarios distincts
Organisation, processus, domaine de contrôle ou système
Infrastructures exposées à Internet autour de points d'accès connus
Profondeur
Principalement automatisé, avec authentification selon la procédure ou externe
Test manuel et technique ciblé, avec un niveau d'intrusion convenu
Contrôle des documents, des entretiens, par sondage et, le cas échéant, contrôle technique
Découverte « outside-in » et observation récurrentes
Autorisation
Une demande de contrôle et une validation technique sont requises
Règles détaillées, autorisations, limites et contacts d'urgence requis
Mission d'audit, critères, accès aux éléments probants et interlocuteurs
Une répartition claire des responsabilités organisationnelles et des contrôles non invasifs autorisés
Date
Régulièrement et après chaque modification
Avant les mises à jour, après des modifications importantes ou en fonction des risques
Dans le cadre d'un programme d'audit, d'une exigence réglementaire ou contractuelle
En continu ou de manière récurrente
Sortie
Liste des constatations techniques avec justification et priorité
Vias d'attaque validées, conséquences et recommandations
Écarts, justificatifs et évaluation par rapport aux critères
Inventaire des actifs, résultats externes, tendances et indicateurs de priorisation
Analyse des vulnérabilités : tester de manière reproductible les systèmes connus
Un scan de vulnérabilités examine un parc technique défini à la recherche de failles connues, de mises à jour de sécurité manquantes ou de configurations suspectes. Selon l'outil et la mission, il s'effectue depuis l'extérieur, à l'aide d'identifiants d'accès ou via des composants installés. Les analyses authentifiées peuvent prendre en compte des informations internes relatives aux versions et aux configurations. Les analyses externes portent principalement sur la surface accessible.
Cette méthode convient aux contrôles réguliers d'actifs connus, aux processus de correctifs et de configuration, ainsi qu'à la préparation de tests plus approfondis. L'automatisation garantit des règles reproductibles et une large couverture au sein du périmètre défini. Elle génère toutefois également des besoins de vérification. Les caractéristiques de version peuvent être mal interprétées, les contrôles compensatoires peuvent passer inaperçus et certaines logiques applicatives ne peuvent pas être évaluées de manière automatisée.
Dans son guide sur les tests d’intrusion, le BSI met en garde contre les faux positifs liés aux méthodes automatisées et contre les perturbations potentielles liées aux tests plus invasifs. C’est pourquoi le cahier des charges doit préciser s’il est permis de se contenter de détecter les failles, de les confirmer activement ou de les examiner plus en détail. Les systèmes en production nécessitent des créneaux horaires adaptés, des critères d’arrêt et des interlocuteurs désignés.
Un bon rapport d'audit fait la distinction entre observation et évaluation. Il précise l'élément concerné, la date, la méthode de contrôle, les éléments probants, le degré d'incertitude et la validation recommandée. Le nombre de constatations ne constitue pas à lui seul une priorité en matière de risque. Il faut y ajouter la criticité pour l'activité, l'accessibilité et l'impact réel.
Test d'intrusion : valider certaines possibilités d'attaque
Le NIST définit les tests d'intrusion comme des tests de sécurité au cours desquels les testeurs simulent des attaques réelles afin d'identifier les moyens de contourner les dispositifs de sécurité. Souvent, plusieurs failles sont combinées. Cette analyse approfondie permet de déterminer si une hypothèse est valable dans la pratique et quel impact peut être atteint dans les limites convenues.
Un test d'intrusion est indiqué pour les applications critiques, les modifications architecturales majeures, les nouvelles interfaces externes et les scénarios de risque concrets. Pour les applications Web, le guide OWASP Web Security Testing Guide offre un cadre structuré. Le test doit s'appuyer sur une description à jour de l'architecture et du périmètre. Sinon, l'équipe risque de consacrer beaucoup d'efforts à un objectif secondaire.
L'autorisation est essentielle. Les règles d'engagement définissent les systèmes, les techniques autorisées, la durée, les comptes de test, le traitement des données, les contacts d'urgence, les règles d'interruption et la chaîne hiérarchique. Une infrastructure cloud ou de fournisseur partagée peut nécessiter des autorisations supplémentaires. Le test ne doit avoir lieu que dans le cadre de cet accord.
Un test d'intrusion fournit des informations valables à une date donnée concernant le périmètre examiné et la méthode utilisée. L'absence d'attaque réussie ne prouve pas qu'il n'existe aucune vulnérabilité. Les nouvelles versions et configurations modifient le résultat. Une fois les correctifs appliqués, il est judicieux de procéder à une nouvelle vérification ciblée.
Audit de sécurité : vérifier la conformité des contrôles et des justificatifs par rapport aux critères
Un audit de sécurité vise à vérifier si les exigences et les contrôles définis sont mis en œuvre de manière vérifiable. Les critères peuvent provenir de directives internes, de contrats, de normes ou d'exigences réglementaires. Les auditeurs examinent les documents, les rôles, les preuves de processus, les configurations et des échantillons. Les tests techniques peuvent fournir des éléments probants, mais ne constituent pas automatiquement le seul élément central de l'audit.
Cet audit est indiqué lorsqu'une organisation souhaite évaluer sa gouvernance, ses responsabilités et l'efficacité de ses contrôles. Il peut s'agir, par exemple, des processus d'autorisation, de la gestion des vulnérabilités, du contrôle des fournisseurs ou de la préparation aux situations d'urgence. Sa pertinence dépend du cahier des charges, du périmètre d'application, de la période couverte par l'audit et de la qualité des échantillons.
Un rapport d'audit doit établir un lien clair entre les exigences, les éléments vérifiés, les écarts et l'évaluation. Il peut contenir des recommandations ou des mesures. Un audit ne remplace pas un examen technique approfondi lorsque la question centrale porte sur l'exploitabilité concrète d'une application. À l'inverse, un test d'intrusion ne permet pas automatiquement de déterminer si un processus à l'échelle de l'organisation est géré de manière efficace.
Lors de la sélection d'un prestataire, il faut déterminer clairement s'il s'agit d'une revue interne, d'un audit indépendant ou d'un contrôle de certification formel. Ces prestations diffèrent en termes de qualification, d'indépendance, de rapport et de reconnaissance éventuelle. Le terme „ audit de sécurité “ ne suffit pas à lui seul à préciser cela.
EASM : surveiller les ressources externes inconnues et les modifications
Gestion de la surface d'attaque externe examine la surface d'attaque exposée sur Internet selon une approche « outside-in ». Microsoft décrit l'EASM comme un processus continu de découverte et de cartographie de l'infrastructure externe. Les domaines, hôtes, plages d'adresses IP ou informations organisationnelles connus peuvent servir de points de départ pour l'identification d'autres candidats.
L'EASM est indiqué lorsque l'inventaire connu ne reflète pas fidèlement la réalité externe ou lorsque des changements doivent être mis en évidence régulièrement. Il peut signaler la présence de nouveaux hôtes, de services accessibles, de relations de certificats, de configurations de sécurité et d'informations techniques. Il facilite ainsi la découverte et la hiérarchisation avant un audit ciblé.
Cette méthode a ses limites. Un candidat identifié n'appartient pas automatiquement à l'organisation. Les indications technologiques visibles publiquement ne confirment pas nécessairement la version concrète ou l'exploitabilité. Les autorisations internes, la segmentation et les systèmes inaccessibles restent hors de portée. L'EASM ne remplace donc ni les analyses authentifiées, ni les tests d'intrusion, ni les audits.
LocateRisk effectue des analyses sans agent des surfaces d'attaque accessibles au public et classe les observations en fonction d'indicateurs clés de performance (KPI). Un Note de sécurité peut synthétiser les changements. Pour prendre une décision, il convient d'examiner l'affectation des actifs, les résultats individuels et le contexte commercial.
Combiner les procédés et appliquer proprement
Un processus coordonné peut débuter par l'EASM afin d'identifier les actifs externes inconnus et les changements. Un scan de vulnérabilités permet de contrôler de manière répétable certains systèmes connus sélectionnés. Un test d'intrusion permet de valider de manière plus approfondie les scénarios prioritaires. Un audit permet de vérifier si le processus global et les contrôles définis sont mis en œuvre de manière efficace.
Cet ordre n'est pas une règle absolue. Dans le cas d'un nouveau portail web critique, un test d'intrusion peut être prioritaire avant la mise en production. Pour un parc Internet important qui s'est développé au fil du temps, la phase de découverte peut dans un premier temps être omise. Afin de fournir une preuve contractuelle de contrôle, un audit peut constituer la première mesure appropriée.
Le cahier des charges doit inclure la question directrice, les systèmes concernés et non concernés, le niveau de détail des tests, l'accès, la durée des tests, les limites de sécurité, le traitement des données, la validation et le format du rapport. Convenez également de la manière dont les résultats critiques seront signalés immédiatement et de la personne chargée de valider les mesures à prendre. Pour établir un cadre de référence structuré, la Analyse des risques informatiques Préparer les données externes et définir les priorités.
Ne jugez pas le succès uniquement en fonction du nombre de résultats. Les critères pertinents sont les affectations d'actifs clarifiées, les scénarios à haut risque validés, le délai de traitement, les résultats récurrents et l'efficacité démontrée. Un évaluation gratuite peut indiquer quelle perspective externe est pertinente pour la suite du plan d'audit.
Prévoyez également le transfert entre les différentes procédures. Une note EASM doit être associée au scan ou au test avec une attribution claire de l'actif. Un rapport de test d’intrusion validé doit comporter un responsable et un délai. Un audit doit pouvoir vérifier si les mesures correctives et le suivi ont été documentés. L’utilisation d’identifiants d’actifs, de classes de risque et de statuts uniformes permet d’éviter qu’une même observation ne soit traitée plusieurs fois sans lien entre elles.
Un scan de vulnérabilités recherche, de manière essentiellement automatisée, les failles connues dans un périmètre défini. Un test d’intrusion examine, selon un niveau de détail convenu, si et comment certaines failles sélectionnées peuvent être exploitées dans la pratique ou combinées pour former des vecteurs d’attaque.
Non. L'EASM détecte et surveille les actifs et les expositions externes. Un test d'intrusion permet de valider de manière plus approfondie certaines possibilités d'attaque, en respectant des règles d'autorisation détaillées. L'EASM peut hiérarchiser les cibles et les scénarios appropriés en vue d'un examen plus approfondi.
Un audit est indiqué lorsqu'il s'agit de vérifier si des exigences, des processus et des contrôles définis répondent à des critères vérifiables. Pour évaluer la faisabilité pratique d'une application concrète, un test technique est souvent plus approprié.
Il a besoin d'un mandat défini par écrit précisant les systèmes cibles, les techniques autorisées, la durée, les comptes de test, les règles relatives aux données, les contacts d'urgence et les critères d'interruption. Les fournisseurs ou les plateformes cloud concernés peuvent imposer des exigences supplémentaires.
La fréquence dépend du risque et des changements. Les analyses et l'EASM conviennent aux contrôles récurrents. Les tests d'intrusion sont utiles avant les mises en production critiques, après des modifications importantes ou en fonction des risques. Les audits répondent aux besoins en matière de contrôle et de justification.
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English