Les tests d'intrusion

La méthodologie employée pour les tests externes est la suivante :

• Phase de reconnaissance

De multiples recherches à partir de sources publiques sont entreprises afin de trouver des fuites d'informations qui pourraient être utilisées pour établir une attaque : moteurs de recherche, DNS, Whois, pastebin-like etc.

• Phase de cartographie

Le but est d’obtenir le maximum d’information sur les différentes cibles afin d’identifier la surface d’attaque et de rendre les attaques plus efficaces. Chaque service est récupéré et catégorisé afin d'être traité dans la phase suivante d’intrusion.

Cette étape permet également d’identifier le chemin réseau emprunté et donc potentiellement les équipements filtrants en coupure des serveurs système et applicatifs à auditer.

• Phase d’intrusion

Identification des points d’entrée sur le réseau externe et donc des failles permettant de prendre le contrôle de machines données ou de récupérer des données intéressantes pour identifier d’autres vulnérabilités. C’est la phase majoritaire dans ce type de test, qui permet d'identifier des failles sur différents types de services :

1. Vulnérabilités sur les services web : l'exploitation des vulnérabilités dans un environnement web offre plus d'interactions pour un attaquant qu'un simple service réseau tiers tel que SMTP, FTP ou SSH. C'est pourquoi nous accordons une attention particulière aux applications web.
2. Vulnérabilités sur les services tiers (non-web) : dans ce cas, les faiblesses de la configuration sont exploitées. Des tentatives d'intrusion telles que l’énumération de mots de passe ou l'utilisation d'exploits connus sont effectuées.

• Phase d'exploitation

Cette phase permet de confirmer le niveau de risque des vulnérabilités identifiées. Elle donne une visibilité sur les différentes possibilités se présentant aux attaquants visant vos infrastructures, que ce soit en termes d’exfiltration de données confidentielles ou de modification d’éléments sensibles. Cette phase concrétise le test d’intrusion et fait appel à l’expertise de nos consultants.

1. Dans ce type de test, la phase d’exploitation vise souvent à transformer une vulnérabilité système/applicative en moyen de communication avec le réseau interne, afin d'identifier un moyen de compromettre votre réseau interne à partir d’une infrastructure exposée sur Internet.
2. La phase d’exploitation a également pour but de simuler ce qu’un attaquant ferait une fois sur le réseau interne, en passant par exemple du serveur web compromis à la base de données, puis à l’annuaire principal de l’entreprise.

De manière alternative, nous utilisons notre propre méthodologie afin d’effectuer chaque phase pas-à-pas et obtenir les résultats les plus complets possibles :

• Phase de cartographie système et réseau

Permet de qualifier le niveau d’exposition du serveur hébergeant l’application web et d'améliorer les résultats des phases suivantes.
Cette phase consiste à identifier les différents services accessibles ainsi qu’à détecter des erreurs de configuration sur le serveur.

• Évaluation du service de publication

Phase ayant pour but d’identifier les vulnérabilités liées au serveur applicatif hébergeant le service web, à savoir Apache, IIS, Nginx ou toute autre solution envisageable.
En effet, la configuration et le niveau de mise à jour de ce service peuvent être exploités par un attaquant pour compromettre le serveur et donc la ou les applications sous-jacentes.

• Phase d’intrusion applicative

C’est la phase la plus importante en termes de temps passé par le consultant. Elle a pour but de challenger la sécurité du code développé ou de la solution en place (un CMS par exemple) en testant chaque fonctionnalité en détail.

Dans le cas d’un test d’intrusion applicatif authentifié, cette phase comprend également une analyse détaillée de la sécurité des différents moyens d’authentification ainsi que du maintien de session. En effet, nous vérifions qu’il n’est pas possible de contourner les mécanismes d’authentification ou encore que les données de session de chaque utilisateur soient bien cloisonnées.

• Phase d’exploitation

Chaque faille identifiée est exploitée permettant d’obtenir :

1. Des données confidentielles : dans le cas d’un défaut de cloisonnement par exemple, nous tentons de récupérer les informations d’autres utilisateurs à partir d’un compte donné.
2. Le contrôle d’un serveur : l’exécution de commande système est vérifiée, par exemple, en obtenant une invite de commande sur la machine hébergeant l’application, montrant qu’il est ensuite possible de poursuivre les tests vers le réseau interne
3. Un accès privilégié : si nous identifions un moyen d’usurper l’identité d’un utilisateur et d’obtenir un accès supérieur à celui de l’utilisateur actuel

Ce test est composé des étapes suivantes :

• Phase de découverte

À partir du niveau d’information initial, nous allons tenter d’identifier l’ensemble des réseaux Wi-Fi vous appartenant, analyser les technologies de sécurité mises en place et l’architecture des points d’accès. Cette étape permet d’évaluer le niveau d’exposition et d’opacité de vos réseaux Wi-Fi.

• Cartographie des réseaux Wi-Fi

Nous effectuons une cartographie du rayonnement de chaque point d’accès. Nous allons aussi nous assurer que le rayonnement de réseaux étrangers n’empiète pas sur votre périmètre et qu’aucun point d’accès illégitime n’est présent dans vos locaux.

• Phase d’intrusion sur portail captif

Une fois le périmètre défini, nous tentons de découvrir les vulnérabilités éventuelles des points d’accès de type "portail captif" afin de nous introduire sur le réseau interne ou d’obtenir des informations sensibles sur votre organisation. L’objectif est de démontrer l’exploitabilité de la faille de sécurité et d’évaluer le niveau de compétence nécessaire pour parvenir à l’exploiter et, dans ce cas précis, de prouver l’isolation (ou le manque d’isolation) du réseau invité avec les autres réseaux plus privilégiés.

• Phase d’intrusion sur points d’accès privés

Dans le cas de découverte de réseaux « entreprise » ou « protégés » (réseaux non destinés au grand public mais plutôt aux employés), nous tentons de nombreux types d’attaques dans le but d’obtenir un accès à ces réseaux. Ces attaques peuvent cibler les clients des réseaux sans-fil (employés), le but étant de voler un ou plusieurs identifiants pour ensuite pouvoir se connecter.

Ce test est composé des étapes suivantes :

• Phase de collecte d'information

Récupération d'informations sur l'infrastructure ToIP et sur le poste physique téléphonique. Depuis la prise Ethernet mise à notre disposition ainsi que d'un poste téléphonique, nous tâcherons d’obtenir le maximum d’informations sur le réseau ToIP. Cette étape peut être effectuée par le biais d’un poste mis à notre disposition ou alors depuis un poste auditeur.

• Phase d'intrusion sur les téléphones IP

Analyse de la configuration des téléphones, compromission du poste à distance. Nous ciblons ensuite les téléphones IP et analysons leur configuration ainsi que leur surface d’attaque. Nous validons la confidentialité et l’intégrité des données échangées sur le réseau entre le téléphone et l’infrastructure de téléphonie et tentons de le compromettre par le biais des services disponibles. Des attaques nécessitant un accès local au téléphone IP sont également réalisées afin d’identifier par exemple la possibilité d’usurpation d’identité de l’utilisateur enregistré.

• Tentatives d'intrusions sur l'infrastructure téléphonique

Cartographie des systèmes téléphoniques (PABX, Call Manager, Proxy SIP par exemple), écoute du trafic téléphonique, compromission d'un ou plusieurs éléments de l'infrastructure. Nous poursuivons nos tests sur l’infrastructure ToIP et tentons de découvrir les systèmes et services accessibles sur les serveurs. L’objectif est de démontrer la faille de sécurité et d’évaluer le niveau de compétence nécessaire pour parvenir à l’exploiter. Nous mettrons notamment en avant les risques d’écoute illicite et de fraude.

• Phase d’exploitation

Exploitation des failles identifiées pour prouver l’impact sur la confidentialité et l’intégrité des données téléphoniques: carnet d’adresses, conversations, messages ou risque financier (fraude).

Ce test est composé des étapes suivantes :

• Phase de cartographie

Scans réseau, identification de la solution "bureau à distance".

• Phase d'évaluation du cloisonnement applicatif

Sortie du contexte de l’application à distance, évaluation de la sécurité de l’application (de la même manière que la phase d'intrusion sur une application standard).

• Phase d'exploitation locale

Élévation de privilèges sur le serveur, identification des données sensibles.

• Phase post-exploitation

Déplacement latéral sur le réseau interne, compromission de l’architecture centralisée.