Qu'est-ce que le Penetration Testing, vraiment?

Le penetration testing est la pratique qui consiste à simuler des attaques réelles contre un système, un réseau ou une application, en vertu d'un accord signé, dans le but de trouver les faiblesses exploitables avant que quelqu'un de non autorisé ne le fasse. C'est un exercice contrôlé, limité dans le temps, qui se termine par un rapport, pas une série de piratage sans fin.

La différence entre le pentesting et le scan de vulnérabilités

Un scanner de vulnérabilités comme Nessus ou OpenVAS vérifie une cible par rapport à une base de données de signatures connues et vous donne une liste de problèmes potentiels, dont la plupart nécessitent une vérification manuelle. Un pentest va plus loin: le testeur essaie réellement d'exploiter les résultats, de les enchaîner et de démontrer un impact réel. Un scan vous dit qu'un port est ouvert et qu'une version de service semble obsolète. Un pentest vous dit que ce service obsolète peut être utilisé pour obtenir un shell, et à partir de ce shell, vous pouvez vous déplacer dans le contrôleur de domaine.

Cette distinction compte aussi pour le rapport. Un rapport de scan est une liste. Un rapport de pentest est une histoire avec des preuves: des captures d'écran, des résultats de commandes, et une description du chemin d'attaque du premier accès jusqu'à l'objectif convenu (accès aux données, admin de domaine, etc.).

Comment une mission est délimitée

Avant tout test, le client et le testeur conviennent de règles d'engagement: ce qui est inclus dans le périmètre (plages d'adresses IP spécifiques, domaines, applications), ce qui est hors limites (bases de données de production, systèmes tiers ne appartenant pas au client), fenêtres de test et contacts d'urgence si quelque chose se casse. Ceci est documenté dans une lettre d'autorisation signée ou un contrat. Sans cette autorisation, exactement le même travail technique est un crime selon des lois comme le US Computer Fraud and Abuse Act ou le UK Computer Misuse Act.

Les missions sont généralement catégorisées selon la quantité d'informations avec lesquelles le testeur commence:

• Black box — le testeur reçoit une cible et rien d'autre, simulant un attaquant externe sans connaissance préalable.
• Gray box — le testeur reçoit certaines informations, comme un compte utilisateur ou un diagramme réseau, similaire à un scénario d'initié malveillant ou de credential compromises.
• White box — le testeur a accès complet au code source, aux documents d'architecture et aux credentials, utile pour des tests approfondis au niveau des applications.

À quoi ressemble une méthodologie typique

La plupart des pentests suivent vaguement une structure proche de la PTES (Penetration Testing Execution Standard) ou des phases dans NIST SP 800-115:

1. Reconnaissance — collecte d'informations passive et active. Des outils comme theHarvester, amass, ou le simple Google dorking pour les sous-domaines exposés et les e-mails des employés.
2. Scanning et énumération — nmap -sC -sV contre la plage cible, brute-forcing de répertoires avec gobuster ou ffuf sur les applications web, énumération SMB avec enum4linux sur les réseaux internes.
3. Exploitation — utiliser les CVE connues, les mauvaises configurations, les credentials faibles ou les payloads personnalisés pour obtenir un accès initial. Cela pourrait signifier un module Metasploit, un payload d'injection SQL artisanal, ou un email de phishing avec une macro malveillante.
4. Post-exploitation — une fois que vous avez un point d'appui, le vrai travail commence: l'escalade de privilèges, le mouvement latéral, la collecte de credentials avec des outils comme Mimikatz ou secretsdump.py, et déterminer l'étendue réelle de l'accès.
5. Rapportage — rédiger les résultats avec les scores CVSS, les étapes de reproduction, les preuves et les conseils de remédiation que l'équipe d'ingénierie du client peut mettre en œuvre.

Types de pentests que vous rencontrerez

Les pentests réseau ciblent l'infrastructure interne ou externe — serveurs, pare-feu, routeurs. Les pentests d'applications web se concentrent sur les choses du OWASP Top 10: les flaws d'injection, l'authentification défaillante, la désérialisation non sécurisée. Les pentests d'applications mobiles explorent les fichiers APK/IPA, les endpoints API et le stockage local. Les pentests sans fil testent la sécurité Wi-Fi (capture de handshake WPA2/3, points d'accès rogue). Les pentests physiques et d'ingénierie sociale testent si quelqu'un peut entrer dans un bâtiment ou convaincre un employé de remettre ses credentials, aucun code requis.

Pourquoi les entreprises paient réellement pour ça

Au-delà de trouver des bugs, les pentests satisfont aux exigences de conformité. PCI DSS nécessite des pentests annuels pour quiconque traite des données de cartes. Les audits SOC 2 et ISO 27001 s'attendent souvent à des preuves de tests réguliers. Mais la vraie raison pour laquelle les bonnes équipes de sécurité commandent des pentests n'est pas juste la case à cocher — c'est que les scanners automatisés manquent les flaws de logique métier, les problèmes enchaînés de faible sévérité, et le genre d'exploitation créative qu'un humain compétent trouve. Un scanner ne remarquera pas qu'en changeant un ID de commande dans une URL, vous pouvez voir la facture de quelqu'un d'autre. Un testeur le remarquera.

Se lancer dans ce domaine

Si vous visez le pentesting comme carrière, la pratique pratique compte plus que les certifications seules. Des plateformes comme HackTheBox et TryHackMe développent la mémoire musculaire; des certifications comme OSCP la valident. Apprenez à lire le code source, comprenez comment HTTP fonctionne réellement au niveau des octets, et mettez-vous à l'aise avec un terminal Linux avant de vous soucier des outils tape-à-l'œil.

Si ce résumé vous a été utile, Korra Studio a d'autres segments dans la piste Offensive couvrant des techniques d'exploitation spécifiques, des parcours d'outils, et une pratique basée sur des labs que vous pouvez suivre.