Les Méthodologies d’un Test de Pénétration
Le test de pénétration peut être exécuté en utilisant une des trois méthodes suivantes:- White Box L’équipe d'auditeurs travaille en coopération avec le département IT, en ayant un accès illimité à toutes les ressources et informations internes qui pourraient leur être utiles.
- Gray BoxL’accès aux ressources et informations internes est limité. Certains employés de l'entreprise ne sont pas au courant de l'existence du test de pénétration, ce qui permet également d'observer leur réaction face à des attaques spécifiques.
- Black BoxLes auditeurs n'ont aucun accès aux ressources internes. Seuls certains membres de la direction sont informés de l'existence dudit test de pénétration, ce qui permet par ailleurs de vérifier l'efficacité des réponses apportées par le département informatique en termes de détections et de contremesures.
Nonobstant le manque de réalisme des conditions de réalisation de l'approche White Box, cette méthode est de loin la plus exhaustive. Réciproquement, la méthodologie Black Box, bien que plus complexe, demeure la plus proche des conditions d'attaques réelles. Finalement, l'approche Gray Box peut être assimilée à une combinaison White Box - Black Box, et constitue souvent la méthode la plus efficace pour un test de pénétration.
Néanmoins, il n’existe aucune méthode universelle adaptée à tous les tests de pénétration. Il convient de sélectionner la méthode la plus appropriée en fonction des impératifs et des besoins propres à chaque client.
Standards des Tests de Pénétration
La méthodologie de High-Tech Bridge en termes de test de pénétration et d'évaluation des vulnérabilités est compatible avec tous les standards mondialement reconnus :
- ISO/IEC 27001
- ISO/IEC 27002
- PCI DSS 1.2.2 (Payment Card Industry Data Security Standard)
- OSTTMM (Open Source Security Testing Methodology Manual)
- OWASP (Open Web Application Security Project)
- LPT (Licensed Penetration Tester methodology from EC-Council)
