Nederlands
EnglishTests d'intrusion
Savoir ce qu'un attaquant trouverait, avant qu'il ne le trouve. Nous testons vos applications, vos réseaux et vos utilisateurs dans un cadre autorisé, puis nous vous remettons des corrections classées par priorité.
Quand faire un test d'intrusion
- Avant la mise en production d'une application ou d'une API.
- Après une évolution importante de votre infrastructure ou une migration.
- Pour démontrer l'efficacité de vos mesures de sécurité dans le cadre de NIS2, de CyFun ou d'ISO 27001.
- À la demande d'un client, d'un assureur ou d'un auditeur.
- Après un incident, pour vérifier qu'aucune porte n'est restée ouverte.
Ce que nous testons
Applications web et API
Authentification, gestion des sessions, contrôle des droits, injections et logique métier.
Infrastructure externe
Ce qui est exposé sur Internet : services, accès à distance, messagerie et configurations.
Infrastructure interne
Ce qu'un attaquant pourrait atteindre depuis un poste compromis : annuaire (Active Directory), partages, comptes à privilèges.
Évaluation de vulnérabilités
Recensement des failles connues de vos systèmes et priorisation des corrections selon le risque réel.
Phishing simulé
Campagnes de test et de sensibilisation pour mesurer et améliorer les réflexes de votre personnel.
Tests augmentés par l'IA
Des outils d'intelligence artificielle spécialisés en sécurité offensive élargissent la couverture et accélèrent l'analyse. Chaque résultat est vérifié par un expert, dans le périmètre autorisé et sous la confidentialité de la mission.
Déroulement
Chaque test combine l'analyse manuelle d'un spécialiste (logique métier, enchaînement de failles, contournement des contrôles) et des outils reconnus. Nous suivons des référentiels publics : le Web Security Testing Guide de l'OWASP pour les applications et les API, le PTES et le NIST SP 800-115 pour les infrastructures.
Cadrage
Objectifs, périmètre, dates et contacts d'urgence sont fixés par écrit. Aucun test ne commence sans votre autorisation signée.
Tests
Analyse manuelle et outils de cartographie, de recherche de vulnérabilités et d'exploitation, dans les fenêtres convenues et en tenant compte des systèmes sensibles.
Rapport
Chaque vulnérabilité est démontrée, classée par criticité et accompagnée d'une recommandation de correction. Une synthèse s'adresse à la direction.
Restitution
Présentation des résultats à vos équipes et priorisation des corrections. Sur demande, un contre-test vérifie leur efficacité.
Questions fréquentes
Quelle différence entre un scan de vulnérabilités et un test d'intrusion ?
Le scan recense automatiquement des failles connues. Le test d'intrusion va plus loin : un spécialiste vérifie qu'elles sont exploitables, les combine et mesure jusqu'où un attaquant pourrait aller.
Le test peut-il perturber nos systèmes ?
Le risque est encadré : périmètre et fenêtres définis à l'avance, méthodes adaptées aux systèmes sensibles et contact direct avec vos équipes pendant les tests. Les actions les plus intrusives ne sont menées qu'avec votre accord explicite.
Un test d'intrusion est-il obligatoire avec NIS2 ?
La directive NIS2 ne l'impose pas en tant que tel, mais son article 21 exige des politiques et des procédures pour évaluer l'efficacité des mesures de sécurité. Le test d'intrusion est l'un des moyens les plus concrets de le démontrer.
Combien de temps dure un test ?
Cela dépend du périmètre : quelques jours pour une application ciblée, davantage pour une infrastructure étendue. Le devis précise la durée, la méthode et le livrable.
Utilisez-vous l'intelligence artificielle pendant les tests ?
Oui, comme outil d'appoint : des modèles spécialisés en sécurité offensive élargissent la couverture et accélèrent l'analyse, mais chaque résultat est vérifié par un expert avant de figurer dans le rapport. Les données de votre mission ne sont pas réutilisées pour entraîner ces modèles, et leur usage reste limité au périmètre que vous avez autorisé.