Pourquoi réaliser un pentest d’infrastructure ?
Les infrastructures regroupent les systèmes, services réseau, équipements et mécanismes d’accès qui permettent à votre activité de fonctionner. Une exposition inutile, une configuration fragile, une segmentation insuffisante ou une vulnérabilité non corrigée peut créer un point d’entrée ou faciliter l’accès à d’autres ressources.
Un pentest d’infrastructure est un test d’intrusion mené sur un périmètre technique défini. Il vise à identifier les vulnérabilités pertinentes, à vérifier leur portée dans les limites autorisées et à fournir des recommandations de correction hiérarchisées. Il complète les scans de vulnérabilités par une analyse humaine du contexte et des relations entre les actifs testés.
Pentest externe ou pentest interne : quel périmètre choisir ?
Pentest d’infrastructure externe
L’objectif est d’évaluer les services accessibles depuis Internet et la surface d’exposition de votre organisation. Selon le périmètre convenu, les tests peuvent porter sur des services publiés, des passerelles d’accès distant, des interfaces d’administration exposées ou des configurations réseau visibles depuis l’extérieur.
Cette approche peut être pertinente avant l’ouverture d’un nouveau service, après une évolution d’architecture ou pour obtenir une vision datée des risques associés à l’exposition publique.
Pentest d’infrastructure interne
L’évaluation se déroule depuis un point de présence interne défini avec vous. Elle peut examiner les services accessibles, les contrôles de segmentation, les configurations des systèmes Windows ou Linux, les partages, les services d’administration et les relations entre ressources lorsque ces éléments sont inclus dans le périmètre.
Le point de départ — par exemple un accès réseau limité ou un compte de test — est choisi en fonction de l’objectif. Il permet de mieux comprendre les possibilités d’accès au-delà du premier segment et les contrôles qui limitent ou empêchent ces mouvements.
Environnements hybrides et sujets spécifiques
Les environnements hybrides, les équipements réseau ou certains services hébergés peuvent être intégrés après étude de leur faisabilité et de leurs autorisations. Si votre priorité concerne spécifiquement les identités et les permissions d’un domaine Windows, consultez notre prestation de pentest Active Directory.
Quels contrôles peuvent être étudiés ?
Le plan de test est défini à partir de l’architecture et des objectifs. Selon les actifs autorisés, il peut inclure :
- Surface d’exposition : services accessibles, ports et interfaces publiés, accès distants et composants qui méritent une vérification approfondie.
- Vulnérabilités et versions : vérification contextualisée de vulnérabilités potentielles et évaluation de leur portée lorsque les conditions le permettent.
- Configurations système : paramètres de sécurité et services actifs sur les systèmes inclus dans le périmètre.
- Segmentation réseau : séparation des zones, filtrage des flux et accès entre segments dans les conditions de test prévues.
- Services et droits d’accès : mécanismes d’administration, permissions et possibilités d’accès à d’autres ressources lorsqu’ils sont couverts par la mission.
- Chemins d’attaque : enchaînements de faiblesses observées qui pourraient augmenter l’impact d’une compromission initiale.
Tous ces points ne sont pas systématiquement inclus. La proposition précise les plages IP, noms de domaine, environnements, exclusions et catégories de tests concernés.
Un cadre d’intervention explicite
Avant le démarrage, nous définissons les actifs autorisés, les systèmes exclus, les plages horaires, les contraintes de disponibilité, les limites de tests et les contacts à joindre en cas de difficulté. Les autorisations nécessaires doivent être obtenues pour les actifs concernés, y compris lorsqu’ils sont hébergés ou opérés par un tiers.
Les tests susceptibles d’entraîner une interruption, de modifier durablement un système ou d’accéder à des données sensibles ne sont pas engagés sans accord explicite et règles adaptées. Le cadrage tient compte de l’environnement de production et de la criticité des services.
Ce que vous recevez
Les livrables sont définis en fonction des destinataires et des objectifs. Ils peuvent inclure :
- une synthèse des risques les plus importants et de leurs impacts possibles ;
- un rapport technique présentant les vulnérabilités observées et les éléments nécessaires à leur compréhension ;
- des recommandations de correction hiérarchisées selon le contexte connu ;
- une restitution avec les équipes infrastructure, exploitation et sécurité ;
- une contre-vérification ciblée, si elle est prévue dans la mission.
Le rapport précise les limites de l’évaluation, les actifs réellement testés et les conditions dans lesquelles les constats ont été observés.
Comment se déroule un pentest d’infrastructure ?
- Cadrage initial — préciser l’objectif, le point de départ, les environnements et les contraintes opérationnelles.
- Définition du périmètre — confirmer les actifs inclus et exclus, les autorisations, les contacts et les règles de test.
- Évaluation technique — examiner les services et configurations convenus, puis approfondir les constats pertinents dans les limites autorisées.
- Qualification des risques — distinguer les vulnérabilités confirmées des pistes non vérifiables et contextualiser les impacts.
- Restitution et suites — présenter les résultats et les corrections prioritaires, puis organiser une contre-vérification si elle a été convenue.
Pour préparer la mission, consultez également notre guide préparer son premier pentest. Si vous souhaitez un audit plus général ou hésitez entre plusieurs périmètres, notre page tests d’intrusion présente les principales approches.
Pentest d’infrastructure ou scan de vulnérabilités ?
Un scan automatisé peut identifier des versions vulnérables ou certains défauts connus, mais ses résultats doivent être contextualisés. Un pentest ajoute une analyse des conditions d’exploitation, des droits d’accès et des relations entre les actifs dans le périmètre. Il ne remplace pas un programme continu de gestion des vulnérabilités : les deux démarches sont complémentaires.
Questions fréquentes
Faut-il tester l’infrastructure interne et externe en même temps ?
Non. Le choix dépend de votre exposition, de vos objectifs et des moyens disponibles. Un périmètre externe ciblé peut constituer une première étape ; un test interne est pertinent si vous souhaitez étudier les contrôles après un accès au réseau. Les deux peuvent être combinés si cela répond à un besoin clair.
Un pentest d’infrastructure peut-il être réalisé en production ?
Cela peut être envisagé après analyse des contraintes et validation des autorisations. Les actifs critiques, horaires, exclusions et procédures de contact doivent être définis à l’avance. Les tests ne sont jamais lancés sans cadrage.
Est-ce la même chose qu’un pentest Active Directory ?
Pas exactement. Le pentest d’infrastructure porte sur les systèmes, services réseau, configurations et contrôles d’accès inclus. Le pentest Active Directory se concentre plus précisément sur l’annuaire, les identités, les permissions et les chemins de privilèges d’un environnement Windows. Les deux périmètres peuvent être complémentaires.
Quelle est la durée d’un test d’infrastructure ?
Elle dépend du nombre d’actifs, de la diversité des systèmes, du point de départ, des contraintes d’exploitation et du niveau de profondeur attendu. Le périmètre doit être clarifié avant de proposer une durée et un budget.
Échangeons sur votre infrastructure
Indiquez dans votre premier e-mail si votre besoin concerne une infrastructure externe, interne ou les deux, ainsi que les grandes lignes du périmètre et votre objectif. Ne transmettez pas de mots de passe, de secrets ou de données sensibles non chiffrées dans ce premier message.