Sécurité offensive : un pentest annuel, est-ce suffisant ? 

Tous les ans c’est le même scénario qui se répète. D’abord, le budget doit être consommé. Puis, le pentest annuel est enfin planifié et tout le monde se retrouve à courir en novembre.  

Résultat : un rapport livré mi-décembre et des vulnérabilités dont la correction attendra parfois janvier. C’est pourquoi nous profitons du Cybermois pour rappeler l’intérêt d’anticiper le pentest annuel et de le compléter par une surveillance de l’exposition tout au long de l’année. 

Pour autant, le sujet n’est pas de remettre en cause l’intérêt du pentest annuel. Un test d’intrusion reste un excellent moyen d’évaluer la sécurité réelle d’un système d’information, à condition qu’il s’inscrive dans votre plan d’audit et qu’il soit mené en profondeur sur un périmètre représentatif, en simulant la démarche d’un attaquant réel.

La vraie question est plutôt : comment s’assurer que les vulnérabilités identifiées soient corrigées rapidement et que les nouvelles expositions soient détectées entre deux campagnes de tests ? Une démarche complémentaire consiste à associer un pentest annuel à une surveillance de la surface d’attaque (ASM) tout au long de l’année.

Le pentest annuel : un socle à compléter dans la durée 

Un test d’intrusion est une photographie à un instant T, sur un périmètre donné, avec une version donnée de vos applications et de votre infrastructure. Mais attention, votre système d’information n’a rien de figé : 

• vos équipes livrent du code en continu, 
• de nouvelles vulnérabilités critiques sont publiées chaque semaine, 
• votre surface d’attaque évolue, 
• vos configurations dérivent, souvent sans que personne ne s’en aperçoive,
• de nouveaux actifs apparaissent parfois sans être intégrés aux processus de sécurité.

Un pentest réalisé en mars conserve toute sa valeur sur les vulnérabilités identifiées ce jour-là. Cependant, il ne garantit pas que les évolutions réalisées plusieurs mois plus tard soient exemptes de faiblesses. 

C’est pourquoi le pentest annuel doit s’inscrire dans un dispositif de sécurité plus global : il apporte une analyse approfondie des possibilités d’exploitation et de leurs impacts, tandis que la surveillance entre deux audits permet de suivre l’évolution de l’exposition. 

Le véritable enjeu : la remédiation

Une vulnérabilité découverte n’est pas un risque réduit. La réduction du risque intervient uniquement lorsque : 

• la vulnérabilité est identifiée,
• son impact est analysé,
• un correctif est déployé,
• son efficacité est vérifiée lors d’un retest. 

Une faille critique découverte en mars et non corrigée en décembre représente un risque bien plus important qu’une faille découverte en décembre et corrigée dès janvier. 

Autrement dit, la maturité d’un programme de sécurité ne se mesure pas uniquement au nombre de pentests réalisés chaque année, mais également à sa capacité à transformer rapidement les constats en actions correctives. 

Les indicateurs suivants sont souvent plus révélateurs que la fréquence des tests : 

• délai moyen de correction des vulnérabilités critiques,
• taux de remédiation effectif,
• réalisation systématique des retests,
• capacité à détecter l’apparition de nouvelles vulnérabilités. 

Pourquoi attendre le T4, reste malgré tout un pari risqué ?

Attendre la fin d’année comporte plusieurs désavantages : 

• Les pentesters sont saturés : beaucoup d’entreprises souhaitent réaliser leur pentest au même moment et sur les fins de budget. Les créneaux se raréfient, tandis que les délais s’allongent. Vous n’avez donc plus le choix ni de la période, ni de l’équipe. 
• Personne n’a le temps de corriger : le rapport arrive avec les congés, les gels de production et les clôtures budgétaires. Les corrections glissent donc au T1, parfois au T2 de l’année suivante. 
• Le contre-test n’a pas lieu : sans retest, vous ne savez pas si les correctifs sont efficaces. Vous avez un rapport mais pas une réduction de risque. 
• Le test devient un exercice de conformité : fait dans l’urgence, il vise à « cocher la case » plutôt qu’à trouver ce qui compte vraiment. 
• Vous découvrez trop tard ce que vous auriez pu corriger bien plus tôt : Une faille critique trouvée en décembre, c’est potentiellement une exposition de 11 mois. 

Ce que dit le cadre réglementaire 

Les référentiels encouragent également à tester régulièrement plutôt qu’une fois par an. 

• PCI DSS impose des tests d’intrusion au moins annuels et après tout changement significatif, 
• DORA exige, pour les entités financières concernées, des tests de résilience réguliers, avec des tests avancés pour les plus critiques, 
• NIS2 demande d’évaluer l’efficacité des mesures de gestion des risques, ce qui suppose des tests réguliers et documentés. 

Entre deux pentests : l’apport des scans de vulnérabilités 

Tous les risques ne nécessitent pas l’intervention immédiate d’un pentester. Les solutions de scans de vulnérabilités permettent d’identifier rapidement : 

• des systèmes non corrigés,
• des services exposés involontairement,
• des vulnérabilités critiques récemment publiées,
• des écarts de configuration,
• des versions logicielles obsolètes. 

Ces contrôles automatisés ne remplacent pas un test d’intrusion réalisé par un expert. En revanche, ils permettent de réduire considérablement le délai de détection d’un grand nombre de faiblesses techniques. 

Ils constituent un excellent complément au pentest annuel et peuvent s’intégrer à une démarche d’ASM, selon les capacités de la solution retenue : l’ASM aide à découvrir et à suivre les actifs exposés, tandis que les scans recherchent des vulnérabilités connues et certains défauts de configuration. 

ASM : surveiller sa surface d’attaque en continu 

Une autre limite du pentest traditionnel est qu’il se concentre sur un périmètre identifié au moment du test. Or, la question essentielle est souvent : « Sommes-nous certains de connaître tout ce qui est exposé sur Internet ? » 

L’Attack Surface Management (ASM) permet justement de surveiller en continu l’exposition externe de l’entreprise : 

• nouveaux sous-domaines,
• services exposés,
• certificats publics,
• applications oubliées, 
• actifs Shadow IT,
• infrastructures cloud insuffisamment maîtrisées. 

Cette approche permet de détecter rapidement des expositions inconnues qui ne figuraient parfois même pas dans le périmètre initial du pentest. 

L’ASM complète donc naturellement le pentest annuel : le premier suit l’évolution de l’exposition externe tout au long de l’année, tandis que le second apporte une analyse humaine approfondie, notamment sur les failles métier, les contrôles d’accès et les chaînes d’exploitation. Les alertes issues de cette surveillance doivent être qualifiées et suivies d’actions adaptées. Une exposition sensible peut ainsi justifier une correction immédiate ou un test ciblé, sans attendre le prochain audit annuel. 

Quand tester ? Les déclencheurs à connaître 

En complément du pentest annuel, certains événements peuvent justifier des tests ciblés. Concrètement, un test offensif complémentaire devrait être envisagé dès que : 

1. Une mise en production majeure est prévue (nouvelle application, refonte, nouvelle API), 
2. L’architecture change, migration cloud, nouveau SSO, ouverture à des partenaires, télétravail élargi, 
3. Une acquisition ou fusion intègre de nouveaux SI,
4. Un incident (chez vous, chez un pair ou chez un prestataire) révèle une faiblesse potentiellement présente chez vous, 
5. Une vulnérabilité critique touche une technologie que vous utilisez massivement, 
6. Une correction importante a été appliquée, il faut vérifier qu’elle tient.

Le guide pour ne pas tout mélanger : 

Avant d’aller plus loin, clarifions les termes :

• Pentest : identifie des vulnérabilités sur un périmètre défini et évalue leurs possibilités d’exploitation et leurs impacts,
• Red Team : simule un attaquant réel avec un objectif précis et teste aussi votre détection et votre réaction, en sortant des sentiers battus (nuit, intrusion physique…),
• Purple Team : Red Team et Blue Team travaillent ensemble pour améliorer les règles de détection en temps réel, 
• Scans automatisés : surveillance continue, utile entre deux tests manuels, mais qui ne remplace pas l’analyse d’un humain. 

Ces approches se complètent. Un dispositif mature combine naturellement plusieurs d’entre elles. 

Par où commencer ? 

Chez Attineos Cyber, nous vous aidons à construire une démarche adaptée à vos enjeux, à votre maturité et à vos contraintes opérationnelles. L’objectif : identifier vos vulnérabilités, prioriser les corrections et vérifier leur efficacité, en plaçant les tests aux moments où ils vous seront les plus utiles. 

Qu’il s’agisse de sécuriser une mise en production, d’évaluer un périmètre critique ou de structurer un programme d’audit annuel, nos offres de sécurité offensive vous aident à passer du constat à l’action. 

Pour les entreprises ayant des besoins de tests récurrents, nous avons mis en place un contrat TIR annuel (Test d’Intrusion Régulier) qui permet aux équipes de sécurité de consommer des prestations de test d’intrusion, sans avoir à gérer l’administratif de chaque projet (mandat d’audit et NDA dédiée par exemple).  

Échangeons sur vos priorités pour définir les tests qui feront réellement progresser votre sécurité : https://www.attineos.com/contact/