Cybersécurité : les hackers éthiques, ou soigner le mal par le mal

L'approche semble contradictoire, mais en vérité, elle fait sens. Soigner le mal par le mal, voilà la mission de ces hackers dits éthiques, qui reproduisent fidèlement les techniques de cyberattaques non pour porter atteinte à l'organisation mais, au contraire, pour renforcer ses défenses en décelant des failles qui pourraient lui coûter cher à l'avenir. On vous dit tout sur le pentest ! 

Hacker éthique, pentester : même combat 

Qu'on les appelle pentesters ou hackers éthiques, la mission reste la même : aider les organisations, tous secteurs d'activités confondus, à identifier les failles de leurs SI, l'objectif étant de renforcer leur arsenal de cybersécurité. 

Vous l'aurez donc compris, tout l'enjeu d'un pentest est, dans un premier temps, de repérer les éventuelles failles en menant des scans de vulnérabilités. Ces derniers vont identifier les failles du système de manière automatisée, à l'instant T, en se basant sur une BD des dernières vulnérabilités connues. Dans le détail, les pentesters mènent des simulations de cyberattaques, basées sur des scénarios d'attaques multi-vectoriels pour créer divers chemins, toujours dans le même but : repérer les failles du système et les exploiter, en vue d'évaluer le degré de risque encouru par l'organisation. 

Pentest : 3 scénarios possibles 

Le pentest peut être adapté aux objectifs de l'organisation, dans la limite de trois scénarios distincts, appelés « boîte noire », « boîte grise » et « boîte blanche ». Explorons tout cela un peu plus en détail : 

• Boîte noire : dans ce scénario, les pentesters ont en leur possession des informations basiques (nom de la cible, URL, adresse IP…). Leur but dans ce cas est de trouver le moyen de passer outre les protections mises en place par l'organisation ;
• Boîte grise : ce scénario désigne les pentests dans lesquels les hackers éthiques disposent de plus d'informations (identifiant, mot de passe…) ;
• Boîte blanche : c'est le niveau auquel les pentesters ont accès à un large volume de données comme le code source ou encore les schémas d'architecture d'une application… 

A un autre niveau, le red team pentest reproduit de la manière la plus réaliste possible des scénarios d'attaques traditionnellement menées par les « vrais » hackers, ce qui permet de faire le lien entre les failles exploitables repérées et la réalisation d'une attaque coordonnée. Il s'agit là d'une véritable épreuve de vérité pour mettre en lumière les vulnérabilités de la sécurité de l'organisation. Par ailleurs, il faut savoir que les red team pentests peuvent prendre plus de temps et s'attaquer à un périmètre plus large qu'un pentest standard. Ils ont également l'avantage de pouvoir être réalisés dans un scénario « boîte noire ». 

Quid des pentests collaboratifs ? 

On parle de pentests collaboratifs lorsqu'on met en opposition deux équipes : la red team (pentesters) et la blue team (l'équipe de défense de l'organisation). Il s'agit là d'un test grandeur nature au cours duquel les deux équipes s'affrontent pour évaluer les capacités de réaction de la blue team en cas d'attaque.