La recherche d’informations

Types et méthodologies des attaques

Avant de détailler le déroulement d’un test d’intrusion (pentest), il est essentiel de comprendre les méthodologies actuelles employées par les attaquants. Ces méthodologies incluent des phases de reconnaissance avancée, d’intrusion ciblée et d’exfiltration des données. Un test d’intrusion vise à reproduire ces phases tout en respectant les contraintes éthiques et légales, afin d’identifier les vulnérabilités exploitables.

Le test d’intrusion

Le test d’intrusion reste un pilier des audits de sécurité. Les nouvelles méthodologies incluent l’utilisation d’outils automatisés d’analyse et de simulation d’attaques, tels que Cobalt Strike et BloodHound, qui permettent de modéliser les mouvements latéraux et les privilèges élevés.

Par exemple, Cobalt Strike a été utilisé dans des campagnes majeures de ransomware comme celles menées par le groupe REvil en 2022, tandis que BloodHound est régulièrement déployé pour cartographier les chemins d’escalade de privilèges dans les environnements Active Directory lors de tests d’intrusion avancés.

Collecte d’informations ou prise d’empreinte

La collecte d’informations constitue la première étape d’un test d’intrusion. Elle suit également une méthode rigoureuse qui se divise en plusieurs étapes clés :

Avant d’aborder les détails d’une recherche OSINT, il est important de rappeler que toute collecte d’information, qu’elle soit passive ou active, doit se faire en connaissance des risques encourus en cas de transgression des limites légales. Il vous est d’ailleurs fortement conseillé de lire attentivement le chapitre Risques juridiques et solutions écrit par Raphaël Rault disponible dans cet ouvrage.

Parmi ces étapes, la recherche OSINT occupe une place centrale dans la phase de reconnaissance passive.

Conclusion

Au terme de ce chapitre consacré à la collecte d’informations en cybersécurité, on arrive à la fin d’un parcours qui, je l’espère, aura permis de mesurer l’importance capitale de cette phase dans la réalisation d’un test d’intrusion de qualité.

Pour reprendre l’analogie militaire évoquée en début de chapitre : imaginons une attaque en règle sans reconnaissance préalable du terrain, sans estimation des forces et faiblesses de l’adversaire, sans stratégie élaborée en fonction des informations collectées. Le résultat serait catastrophique, n’est-ce pas ? Eh bien, il en va exactement de même pour un pentest.

Nous avons débuté ce livre en plongeant dans l’univers des cybermenaces. L’évolution de la cybercriminalité, les motivations variées des attaquants, les différents types d’attaques qu’elles soient destructives, financières ou de type APT, tout cela nous a permis de comprendre comment pensent et agissent nos adversaires. Car n’oublions jamais notre adage : « discite impetum melius defende » - « apprendre l’attaque pour mieux se défendre ». La cyber kill chain que nous avons décortiquée n’est pas un simple concept théorique, c’est le fil conducteur qui guide chaque pentester professionnel dans sa démarche.

L’analyse des risques et les méthodologies de tests d’intrusion que nous avons explorées ont montré qu’un audit de sécurité ne s’improvise pas. Que l’on travaille en boîte noire, grise ou blanche, que l’on adopte une stratégie passive ou agressive, tout repose sur une fondation solide : la collecte d’informations.

Et c’est bien là le cœur...