Un test d’intrusion ne se résume pas à lancer quelques outils pour rechercher des failles. Pour être efficace, il suit une méthode précise où chaque étape prépare la suivante. Comprendre ces différentes phases est indispensable pour analyser une cible de manière logique, éviter les oublis et réaliser un pentest fiable.
Dans ce tutoriel, vous allez découvrir les quatre grandes phases d’un test d’intrusion : la reconnaissance, le scan, l’exploitation et la post-exploitation. Vous verrez à quoi sert chacune d’elles, pourquoi leur ordre est important et comment elles s’enchaînent pour mener à un test intrusion complet, même si vous débutez totalement en cybersécurité.
- Comprendre la méthodologie précise d’un test d’intrusion et en quoi chaque phase améliore la qualité des résultats.
- Identifier le rôle de chaque étape d’un pentest et le raisonnement d’un professionnel.
- Découvrir comment une approche structurée permet de trouver efficacement les vulnérabilités et de produire un rapport exploitable.
Un test d’intrusion ne consiste pas à lancer quelques outils au hasard en espérant qu’une faille apparaisse comme par magie. Un pentest sérieux suit une méthodologie précise, dans laquelle chaque étape prépare la suivante.
Mais avant de commencer, rappelons une règle fondamentale : un test d’intrusion doit uniquement être réalisé sur un système qui vous appartient ou pour lequel vous disposez d’une autorisation écrite.
Qu’est-ce qu’un test d’intrusion ?
Un test d’intrusion, également appelé pentest, consiste à simuler une attaque informatique contre un système, un site web ou un réseau. Son objectif n’est pas de provoquer des dégâts, mais d’identifier les faiblesses avant qu’une personne malveillante ne les exploite.
Le testeur adopte donc temporairement le point de vue d’un attaquant. Il cherche à répondre à plusieurs questions : Quels systèmes sont accessibles ? Quels services fonctionnent ? Existe-t-il des vulnérabilités connues ? Jusqu’où un attaquant pourrait-il aller s’il parvenait à entrer ?
Pour répondre correctement à ces questions, il faut suivre une méthode. Sans cela, le test risque d’être incomplet, désordonné ou difficile à reproduire.
Pourquoi suivre plusieurs phases ?
La plupart des méthodologies de test d’intrusion comportent entre quatre et sept étapes. Leur nom peut varier, les entreprises ou les standards utilisés, mais leur logique reste généralement similaire.
Chaque phase produit des informations utilisées pendant la suivante. On peut comparer cela à une enquête : vous commencez par recueillir des indices, puis vous les analysez avant de décider où chercher plus précisément.
Sauter directement à l’exploitation serait comparable à essayer d’ouvrir toutes les portes d’un immeuble sans même connaître son adresse. Vous pourriez avoir de la chance, mais ce ne serait ni efficace ni professionnel.
Dans une méthodologie simplifiée, un test intrusion peut être organisé autour de quatre grandes phases :
- La reconnaissance.
- Le scan.
- L’exploitation.
- La post-exploitation.
À ces étapes s’ajoute une activité indispensable : la rédaction du rapport.
Phase 1 : la reconnaissance
La reconnaissance est la première phase d’un test d’intrusion. Elle consiste à recueillir un maximum d’informations sur la cible. À ce stade, le testeur ne cherche pas encore à exploiter une faille. Il tente d’abord de comprendre l’environnement qu’il doit analyser.
La reconnaissance passive
La reconnaissance passive utilise des informations accessibles publiquement, sans interaction directe avec les systèmes de la cible.
Le testeur peut notamment rechercher :
- les noms de domaine et sous-domaines
- les adresses IP publiques
- les technologies utilisées par le site
- les adresses électroniques professionnelles
- les documents publiés en ligne
- les informations disponibles sur les réseaux sociaux
Par exemple, une entreprise peut publier involontairement un document PDF contenant le nom du logiciel utilisé pour le produire. Cette information, apparemment banale, peut orienter les recherches vers une technologie précise.
La reconnaissance active
La reconnaissance active implique une interaction directe avec la cible. Le testeur peut interroger certains services ou vérifier si des machines répondent sur le réseau.
Cette approche est généralement plus précise, mais elle est aussi plus visible. Les requêtes peuvent être enregistrées dans les journaux du serveur ou détectées par un système de surveillance.
L’objectif final de cette première phase est d’établir une carte initiale de la cible : ses domaines, ses serveurs, ses adresses IP et ses principales technologies.
Phase 2 : le scan
Une fois la cible mieux connue, le testeur peut passer à la phase de scan. Il ne cherche plus seulement à savoir quelles machines existent, mais ce qu’elles proposent réellement. Cette deuxième phase peut être séparée en deux activités : le scan des ports et la recherche de vulnérabilités.
Le scan des ports
Un port réseau peut être comparé à une porte numérotée permettant d’accéder à un service. Un serveur web utilise généralement certains ports, tandis qu’un serveur de messagerie ou une base de données en utilise d’autres.
- Le scan permet de déterminer quels ports sont ouverts sur une machine.
À partir de ces résultats, le testeur peut identifier les services disponibles :
- un serveur web
- un accès distant
- une base de données
- un serveur de fichiers
- un service de messagerie
Un port ouvert n’est pas automatiquement une vulnérabilité. Il indique simplement qu’un service écoute et accepte potentiellement des connexions.
L’identification des services
Le testeur cherche ensuite à connaître le nom et, lorsque cela est possible, la version du logiciel associé à chaque port.
Cette précision est importante. Savoir qu’un serveur web fonctionne est utile, mais connaître sa version l’est davantage. Une ancienne version peut contenir des failles publiquement documentées.
Le scan des vulnérabilités
Des scanners spécialisés peuvent comparer les logiciels détectés à des bases de vulnérabilités connues.
Cependant, ces outils ne doivent pas être considérés comme des machines à vérité absolue. Ils peuvent générer des faux positifs, c’est-à-dire signaler une faille qui n’est pas réellement exploitable.
Le testeur doit donc vérifier les résultats manuellement. L’outil facilite l’enquête, mais il ne remplace ni la compréhension ni le raisonnement.
Phase 3 : l’exploitation
L’exploitation est la phase souvent associée au « véritable hacking ». Le testeur tente d’utiliser une vulnérabilité afin de démontrer qu’elle présente un risque réel. Il peut s’agir, par exemple, d’une mauvaise configuration, d’un logiciel obsolète, d’un mot de passe trop faible ou d’une erreur dans une application web.
L’objectif n’est pas de tout casser ni de prendre le contrôle pour le plaisir. Il s’agit de répondre à une question précise : cette faiblesse permet-elle réellement d’accéder à des données ou à des fonctions normalement protégées ?
Exploitation locale ou distante
Une exploitation distante est réalisée à travers le réseau. Le testeur n’a pas besoin d’être physiquement devant la machine.
Une exploitation locale nécessite déjà un accès au système, par exemple grâce à un compte utilisateur limité. Le testeur cherche alors à obtenir davantage de privilèges.
Cette opération est appelée élévation de privilèges. Elle consiste à passer d’un compte peu puissant à un compte disposant de droits plus importants, éventuellement administrateur.
Dans tous les cas, l’exploitation doit respecter le périmètre défini avant le test. Une démonstration suffisante vaut mieux qu’une manipulation dangereuse risquant d’interrompre un service.
Phase 4 : la post-exploitation
La post-exploitation commence lorsqu’un accès a été obtenu. Le testeur cherche alors à mesurer les conséquences réelles de la compromission. Il peut vérifier quelles données sont accessibles, quels comptes existent ou si la machine permet d’atteindre d’autres systèmes du réseau.
Comprendre le déplacement latéral
Dans une entreprise, les systèmes critiques sont rarement accessibles directement depuis Internet. Un attaquant peut d’abord compromettre une machine secondaire, puis l’utiliser comme point de passage.
- Cette progression vers d’autres équipements est appelée déplacement latéral ou pivot.
Le test devient alors cyclique : reconnaissance, scan et exploitation peuvent être répétés sur chaque nouvelle machine découverte. La post-exploitation ne doit toutefois pas devenir une chasse au trésor incontrôlée. Chaque action doit être autorisée, utile et correctement documentée.
Le maintien d’accès
Certaines méthodologies étudient également la possibilité de conserver un accès après un redémarrage ou une déconnexion.
Dans un pentest professionnel, cette opération est particulièrement sensible. Elle ne doit être réalisée que si elle est explicitement prévue dans le contrat, car elle implique souvent des modifications du système.
Le testeur doit aussi être capable de supprimer proprement tous les fichiers, comptes temporaires ou réglages créés pendant l’intervention.
Le rapport : le véritable résultat du pentest
Le rapport n’est pas toujours présenté comme une phase technique, mais il constitue le résultat principal du test intrusion. Un client ne jugera pas uniquement le nombre de failles découvertes. Il évaluera surtout la clarté des explications et la pertinence des solutions proposées.
Le rapport doit présenter le périmètre du test, la méthode employée, les vulnérabilités découvertes, leur niveau de risque et les preuves nécessaires pour confirmer leur existence.
Chaque problème doit également être accompagné de recommandations compréhensibles. Signaler qu’un serveur est vulnérable sans expliquer comment le corriger ne serait pas très utile.
Une synthèse destinée aux responsables non techniques doit compléter la partie détaillée. Elle permet de comprendre rapidement les risques principaux sans devoir traduire vingt pages de jargon informatique.
Une méthode progressive plutôt qu’une collection d’outils
Comprendre les phases d’un test d’intrusion est plus important que mémoriser une longue liste de commandes. Les outils évoluent, changent de nom ou disparaissent. La logique de travail, elle, reste valable.
Lorsque vous débutez, entraînez-vous sur des environnements volontairement vulnérables et isolés, comme une machine virtuelle de laboratoire. Vous pourrez ainsi observer le passage de la reconnaissance à l’exploitation sans mettre en danger un véritable système.
Avec l’expérience, vous apprendrez surtout à relier les informations entre elles. Un détail découvert pendant la reconnaissance peut devenir, plusieurs étapes plus tard, la clé d’une vulnérabilité importante. C’est précisément cette capacité d’analyse qui transforme une simple utilisation d’outils en véritable démarche de cybersécurité.
Fondateur de l’agence Créa-troyes, affiliée France Num
Intervenant en Freelance.
Contactez-moi