⁉️Introduction
La Red Team est une équipe dédiée à l'évaluation de la sécurité d'un système, d'un réseau ou d'une organisation en adoptant le point de vue d'un adversaire réel. Son objectif principal est de découvrir des vulnérabilités potentielles et de renforcer les défenses de l'organisation contre les menaces extérieures.
📋 Documents associés à la Red Team
Plan de mobilisation
Le plan de mobilisation décrit les étapes nécessaires pour préparer et déployer la Red Team. Il peut inclure des éléments tels que la composition de l'équipe, les ressources requises, les objectifs de l'évaluation, les contraintes de temps et de budget, ainsi que les autorisations et les accords de confidentialité.
Plan d'opérations
Le plan d'opérations détaille les actions spécifiques que la Red Team entreprendra pendant l'évaluation de la sécurité. Cela peut inclure des scénarios de test, des méthodes d'attaque potentielles, des outils à utiliser, des points de pivot potentiels et des objectifs spécifiques à atteindre.
Plan de mission
Le plan de mission est une version plus succincte du plan d'opérations, mettant l'accent sur les objectifs principaux de la Red Team pour une évaluation particulière. Il peut inclure des informations sur les cibles prioritaires, les dates clés, les points de contact et les indicateurs de succès.
Plan de remédiation (facultatif)
Bien que facultatif, le plan de remédiation propose des recommandations pour corriger les vulnérabilités découvertes pendant l'évaluation de la Red Team. Il peut inclure des mesures correctives spécifiques, des suggestions de bonnes pratiques de sécurité et des conseils pour renforcer la posture de sécurité de l'organisation.
Roe (Rules of Engagement)
Les Roe définissent les règles et les limites de l'évaluation de la Red Team. Cela peut inclure des restrictions sur les cibles potentielles, les méthodes d'attaque autorisées, les horaires d'activité, les niveaux d'impact sur les opérations commerciales et les protocoles de communication avec le personnel de l'organisation.
CONOPS (Concept of Operations)
Le CONOPS décrit le concept global de l'opération de la Red Team, y compris les objectifs stratégiques, les rôles et responsabilités de l'équipe, les procédures opérationnelles standard et les processus de prise de décision.
📚 Types de tests de pénétration
Black Box Testing
Dans cette approche, les testeurs n'ont aucune connaissance préalable de l'infrastructure de l'organisation. Cela simule une attaque réelle de la manière la plus réaliste possible.
White Box Testing
Les testeurs ont une connaissance complète de l'infrastructure de l'organisation, y compris la conception du réseau, les configurations et les codes sources. Cela permet des tests plus ciblés et approfondis.
Grey Box Testing
Cette approche est un compromis entre le black box et le white box. Les testeurs ont une connaissance partielle de l'infrastructure, simulant ainsi une situation où l'attaquant dispose de certaines informations sur la cible.
Social Engineering
Cette méthode vise à exploiter les faiblesses humaines pour obtenir des informations sensibles ou accéder à des systèmes. Elle peut inclure des appels téléphoniques d'ingénierie sociale, des e-mails d'hameçonnage et d'autres tactiques de manipulation.
Web Application Testing
Ce type de test se concentre sur l'évaluation de la sécurité des applications web, y compris la recherche de vulnérabilités telles que les injections SQL, les failles XSS (Cross-Site Scripting) et les problèmes d'authentification.
Wireless Network Testing
Les tests de ce type se concentrent sur l'évaluation de la sécurité des réseaux sans fil, y compris la détection des réseaux non sécurisés, la capture de paquets et la vérification des paramètres de sécurité des points d'accès.
Physical Security Testing
Ce type de test évalue la sécurité physique des installations de l'organisation, y compris l'accès non autorisé aux bâtiments, la contournement des systèmes de contrôle d'accès et la manipulation des dispositifs de sécurité.
📅 Méthodologie et déroulement
La méthodologie d'un Pentest repose généralement sur quatre phases distinctes, chacune jouant un rôle crucial dans l'identification des vulnérabilités et des faiblesses de sécurité d'un système. Ces phases sont : la reconnaissance, la cartographie, la découverte des vulnérabilités et l'exploitation.
📝 Planning
Dans cette phase initiale, la collaboration entre le pentesteur et le client est essentielle pour établir une portée réaliste et définir les paramètres du test de pénétration. Voici les étapes clés :
Portée du Test: Définir les limites du test, les objectifs, l'étendue, les types d'attaques autorisées, les niveaux d'accès, les restrictions opérationnelles, les informations de contact, le cadre juridique, les rapports attendus, et les exclusions du test.
Estimation de l'Effort: Estimer le temps nécessaire pour le test en fonction de la portée définie et des ressources disponibles.
Légalité: Obtenir l'autorisation légale du client pour effectuer le test, en spécifiant clairement les actions autorisées, les assurances, et les limitations de responsabilité.
Une fois ces aspects convenus avec le client, le pentesteur peut passer à la phase suivante.
🔍 Phase de Découverte
Dans cette phase, l'objectif est d'identifier les réseaux sans fil et les appareils dans la portée du test.
Il faut donc collecter des informations sur la cible du Pentest, y compris son infrastructure, ses technologies, ses utilisateurs et ses processus.
Voici les détails supplémentaires sur cette phase :
Énumération des Réseaux
Utilisation d'outils de balayage pour identifier tous les réseaux sans fil disponibles, y compris les réseaux cachés qui ne diffusent pas leur SSID.
Recherche d'informations publiques sur Internet (Google dorking, recherche WHOIS, etc.).
Analyse des réseaux sociaux et des profils en ligne.
Utilisation d'outils de reconnaissance comme Nmap, Nessus, openVas pour scanner les ports et identifier les services exposés.
Utilisation de techniques d'ingénierie sociale pour obtenir des informations auprès des employés de l'entreprise.
Livrable : Un rapport détaillé sur les informations collectées, y compris une liste des domaines, des adresses IP, des services et des utilisateurs identifiés.
Cartographie des Réseaux
En plus de simplement identifier les réseaux, il est essentiel de cartographier leur étendue et de déterminer où ils sont accessibles. Cela peut inclure des informations sur les niveaux de signal, les points d'accès vulnérables, et les zones où un attaquant potentiel pourrait se positionner pour mener des attaques.
Utilisation d'outils d'analyse de réseau pour découvrir les actifs et les relations entre eux.
Analyse des flux de données pour comprendre les interactions entre les composants du système.
Exploration des applications web pour identifier les fonctionnalités et les points d'entrée possibles.
Identification des Appareils: En plus des points d'accès sans fil, la phase de découverte implique également d'identifier les appareils connectés à ces réseaux. Cela peut inclure des smartphones, des ordinateurs portables, des imprimantes réseau, etc.
Livrable : . Un schéma détaillé de l'architecture du système cible, mettant en évidence les points d'entrée potentiels pour les attaquants
Découverte des Vulnérabilités
Utilisation d'outils d'analyse de vulnérabilités automatisés pour scanner les actifs et identifier les failles connues.
Test manuel des applications et des services pour découvrir des vulnérabilités non détectées par les outils automatisés.
Analyse des configurations et des paramètres pour identifier les erreurs de sécurité potentielles.
Livrables: Un rapport détaillé sur les vulnérabilités identifiées, y compris leur description, leur gravité et leurs impacts potentiels sur la sécurité du système.
Toutes les informations recueillies doivent être consignées de manière précise pour une utilisation ultérieure dans le test. Cela peut inclure des captures d'écran, des journaux de balayage, des cartes de chaleur du signal Wi-Fi, etc.
⚔️ Phase d'Attaque
Une fois la reconnaissance terminée, l'exploitation commence pour la preuve de concept. Voici ce qui doit être exploré dans cette phase :
Test de Sécurité Physique: Tester l'accès physique aux serveurs ou systèmes d'information de l'organisme.
Attaque de l'Infrastructure
Compromission des Clients: Après avoir identifié les réseaux sans fil, des attaques directes sur les clients peuvent être lancées, en cherchant les vulnérabilités et les clients non autorisés.
Exploitation 💥
Objectif: Tester les vulnérabilités identifiées pour évaluer leur impact réel sur la sécurité du système et démontrer les risques associés à leur exploitation.
Méthodes:
Utilisation d'outils d'exploitation pour tester les failles identifiées et obtenir un accès non autorisé au système.
Validation des résultats obtenus pour confirmer la présence des vulnérabilités et leur impact sur le système.
Livrables: Un rapport détaillé sur les résultats des tests d'exploitation, y compris les actions effectuées, les accès obtenus et les risques associés à chaque vulnérabilité exploitée.
Pivoting 🔀
Une fois dans le réseaux nous pouvons utiliser un point d'accès compromis pour atteindre d'autres parties du réseau qui étaient initialement inaccessibles.
Le but est d'étendre la portée de l'attaque en exploitant la confiance accordée aux systèmes internes du réseau, et accéder à des informations sensibles ou à des systèmes critiques.
Méthodes:
Le pivoting peut impliquer l'utilisation de tunnels, de proxies ou d'autres techniques pour rediriger le trafic à travers le système compromis vers d'autres cibles dans le réseau.
Élévation de Privilèges 🛡️
L'élévation de privilèges fait référence au processus de passage d'un niveau d'accès restreint à un niveau d'accès plus élevé dans un système, permettant à l'attaquant d'obtenir des droits et des permissions supplémentaires.
📊 Phase de Reporting
📄 Importance des rapports
Les rapports sont des documents détaillant les résultats de l'évaluation de la Red Team, y compris les vulnérabilités découvertes, les méthodes d'attaque utilisées, les recommandations de sécurité et les mesures correctives suggérées. Ils fournissent une vue d'ensemble claire de l'état de la sécurité de l'organisation et servent de base pour prendre des décisions éclairées en matière de sécurité.
Il existe un débat parmi les pentesters concernant le niveau de détail à inclure dans les rapports de test. Par conséquent, il n'existe pas de consensus universel sur le contenu exact à fournir. Cependant, certaines informations sont universel, bien que leur présentation puisse varier d'un rapport à l'autre.
Voici un exemple d'une table des matières :
📝Table des matières
Préambule
Contexte : Contextualisation du test d'intrusion dans le cadre de l'application ou du système concerné.
Périmètre : Délimitation claire des systèmes ou applications testés.
Objectifs : Description des objectifs spécifiques du test d'intrusion.
Méthodologie : Explication des techniques et approches utilisées pendant le test.
Métriques de Vulnérabilité : Indicateurs utilisés pour évaluer la gravité des vulnérabilités.
Résumé du Test d’Intrusion
Synthèse du Test d’Intrusion : Récapitulation des principales conclusions et recommandations.
Description détaillée des tests effectués et des résultats obtenus : Analyse approfondie des vulnérabilités découvertes, classées par ordre d'importance.
Synthèse Managériale
Points Positifs : Résumé des aspects fonctionnels validés de l'application.
Axes d'Amélioration : Principales vulnérabilités identifiées et recommandations associées.
👨💼 Conclusion
Récapitulatif des Objectifs : Rappel des objectifs de la réunion et de l'importance de la collaboration pour renforcer la sécurité de l'application.
Feedback : Invitation à partager les impressions et le ressenti du commanditaire et de son équipe.
Pour voir des exemples rapport de pentest :
📊 Mise en Forme
Pour garantir la lisibilité et la clarté du rapport, il est important de soigner la mise en forme. Voici quelques conseils utiles :
Utiliser des légendes pour toutes les captures d'écran ou preuves techniques.
Mettre en valeur les éléments importants en utilisant des titres, des listes à puces, etc.
Utiliser des phrases courtes et éviter les paragraphes trop longs.
Structurer le rapport de manière logique avec des titres et des sous-titres.
🔒 Confidentialité et Sécurité
Veillez à ce que le rapport de pentest soit traité avec le plus grand soin en termes de confidentialité et de sécurité :
Fournir une version non modifiable du rapport (par exemple, au format PDF) en plus du format éditable.
Limiter l'accès au rapport aux parties autorisées uniquement.
🏁 Conclusion
La méthodologie d'un Pentest suit un processus itératif, permettant aux pentesters d'identifier, d'évaluer et de corriger les vulnérabilités dans un système d'information. Chaque phase du Pentest est essentielle pour garantir une évaluation complète de la sécurité du système cible et fournir des recommandations précises pour améliorer sa posture de sécurité.
Last updated