Formation Tests de pénétration – Détection et exploitation des vulnérabilités

Comment tester la sécurité des réseaux et des services

• Tests de pénétration – qu'est-ce que c'est ?
• Test de pénétration vs audit – similitudes, différences, qu'est-ce qui est approprié ?
• Problèmes pratiques – qu'est-ce qui peut mal se passer ?
• Périmètre des tests – que voulons-nous vérifier ?
• Sources de bonnes pratiques et recommandations

Test de pénétration – reconnaissance

• OSINT – acquisition d'informations à partir de sources publiques
• Méthodes passives et actives d'analyse du trafic réseau
• Identification des services et de la topologie réseau
• Systèmes de sécurité (pare-feu, systèmes IPS/IDS, WAF, etc.) et leur impact sur les tests

Test de pénétration – recherche de vulnérabilités

• Identification des systèmes et de leurs versions
• Recherche de vulnérabilités dans les systèmes, l'infrastructure et les applications
• Évaluation des vulnérabilités – « ce qui va faire mal » ?
• Sources d'exploits et possibilité de les adapter

Test de pénétration – attaque et prise de contrôle

• Type d'attaques – comment sont-elles menées et quels en sont les résultats ?
• Attaque à l'aide d'un exploit distant et local
• Attaques sur l'infrastructure réseau
• Reverse shell – comment gérer le système compromis
• Élévation de privilèges – comment devenir administrateur
• Outils de « piratage » prêts à l'emploi
• Analyse du système compromis – fichiers intéressants, mots de passe enregistrés, données privées
• Cas particuliers : applications web, réseaux WiFi
• Ingénierie sociale – comment « pirater » l'humain si les systèmes ne le permettent pas ?

Test de pénétration – effacement des traces et maintien de l'accès

• Systèmes de journalisation et de surveillance de l'activité
• Nettoyage des logs et effacement des traces
• Backdoor – comment laisser une porte d'entrée ouverte

Test de pénétration – conclusion

• Préparation du rapport et sa structure
• Remise et consultation du rapport
• Vérification de la mise en œuvre des recommandations