Penetration testing en Belgique
J’attaque vos systèmes comme le ferait un vrai attaquant, dans un cadre convenu, pour trouver vos failles avant lui. Et comme je passe mes journées en incident response, je teste ce que les attaquants utilisent vraiment.
Ce que je teste
- L’exposition externe : tout ce qui est accessible depuis internet
- Le réseau interne et l’Active Directory : ce qu’un attaquant peut faire une fois à l’intérieur
- Les applications web et les API
- Les réseaux Wi-Fi
- Les environnements cloud : Microsoft 365 et Azure
- L’intrusion physique et le social engineering
Ma façon de travailler
- 01
Cadrage
On s’accorde sur les cibles, le type de test, le calendrier et les règles d’engagement.
- 02
Reconnaissance
Cartographier ce qu’un attaquant verrait : services exposés, comptes, technologies.
- 03
Exploitation
Exploiter les failles trouvées, de façon maîtrisée, pour prouver leur impact réel.
- 04
Post-exploitation
Jusqu’où un attaquant peut aller : élévation de privilèges, mouvement latéral, accès aux données sensibles.
- 05
Rapport et débriefing
Un rapport clair avec des constats classés par risque et leurs corrections, et un débriefing avec votre équipe. Un retest des corrections peut être planifié.
Ce que vous obtenez
- Un résumé pour la direction
- Des constats techniques classés par risque, avec preuves et étapes de reproduction
- Des corrections concrètes et priorisées
- Un débriefing avec votre équipe technique
Pourquoi Cyber Horizon
- GIAC Penetration Tester (GPEN) et Experienced Penetration Tester (GX-PT)
- Hack The Box CPTS, Red Team Operator (CRTO) et pentest Wi-Fi (GAWN)
- L’expérience de l’incident response : je sais quelles failles les attaquants exploitent vraiment
- Des recommandations qui incluent la détection, pas seulement les correctifs
Questions fréquentes
Quelle différence entre un scan de vulnérabilités et un pentest ?
Un scan liste automatiquement des vulnérabilités potentielles. Un pentest est mené par une personne qui les exploite et les enchaîne, pour montrer ce qu’un attaquant pourrait réellement obtenir.
Le test va-t-il perturber notre activité ?
Les tests sont planifiés avec vous, et les actions risquées sont convenues à l’avance. La plupart des tests se déroulent sans aucun impact sur la production.
Combien de temps dure un pentest ?
De quelques jours à quelques semaines, selon le périmètre. Après l’appel de cadrage, vous recevez une proposition avec la durée et le prix.
Black box, grey box ou white box ?
Cela dépend de votre objectif. Le grey box, avec des informations limitées comme un compte utilisateur standard, offre généralement le meilleur rapport entre le temps passé et les résultats.
Testez-vous les applications mobiles ?
Non. Le test d’applications mobiles ne fait pas partie de mes services.