Skip to main content
hacking-services-entreprises

Hacking éthique et pentesting : le hacking au service des entreprises

Dans un monde où la technologie est de plus en plus présente, dans notre vie quotidienne, dans les objets, dans les grandes institutions bancaires ou administratives, les cyberattaques sont, elles, de plus en plus fréquentes.

Des PME jusqu’aux GAFA, les entreprises doivent faire face à de nouvelles problématiques en termes de cybersécurité et ont recours à des experts en sécurité informatique pour la protection de leur système.

Commençons par introduire sur ce qu’est le hacking, que beaucoup de monde ne savent pas définir ou confondent trop facilement avec le piratage.

La notion de Hacking

A l’origine le terme « hacking » n’était pas exclusivement réservé à l’informatique, il a été introduit dans les années 60 par le Massachusetts Institute of Technology et désignait le fait d’expérimenter sur un quelconque objet pour le plaisir ou généralement pour le détourner de sa fonction initiale.

C’est pourquoi encore aujourd’hui le terme « hacking » s’utilise aussi pour désigner le fait de penser autrement, on parle d’ailleurs de Growth Hacking, une méthode qui permettrait le développement exponentiel d’une société, ou encore de hacking social, qui consiste à remettre en question notre environnement social.

Ce n’est que dans les années 1980 que les médias commenceront à parler du hacking notamment avec Kevin Poulsen qui, en 1983, à ses 17 ans, va introduire l’ARPANET (ancêtre d’Internet) de l’Université de Californie.

 

kevin-poulsen-hacker

 

C’est donc à partir de ce moment là que les hackers seront vu comme de dangereux pirates informatiques, alors qu’en réalité il existe différents types de hackers que nous vous avons déjà présenté dans un autre article.

Nous avions d’ailleurs rédigé un article complet sur le black hat, et bien cet article traitant du hacking éthique, nous verrons d’avantage ce qu’est le white hat, de plus en plus sollicité par les entreprises.

Un hacker éthique : le white hat

Une PME de vente qui doit gérer ses stocks ou les commandes en cours, une banque qui possède une énorme base de données pour ses comptes clients, ou encore Apple qui doit penser à la sécurisation d’iOS.

Toutes les entreprises utilisent aujourd’hui des moyens technologiques que ce soit par simplicité, par clarté, ou tout simplement car c’est leur domaine. Les données sont de plus en plus dématérialisées, les systèmes de communication en ligne ne cessent de croître, et tout cela se traduit par un besoin constant pour les entreprises de sécuriser leur(s) système(s).

Elles font pour cela appel aux hackers éthiques, les « white hats » ou appelés de manière professionnelle les experts en sécurité informatique.

 

hacker-ethique

 

Qui sont les white hats ? Et bien ce sont des hackers qui n’ont pas de mauvaises intentions (en opposition aux blacks hats) ; cela peut être d’anciens black hats qui ont été arrêtés et recrutés par une entreprise, ou des hackers qui ont directement eu un but « positif » vis-à-vis des entreprises c’est-à-dire la recherche de failles de sécurité dans le but d’en informer l’entreprise concernée.

Certains font ça de manière indépendante, sans être salarié car le plus important pour eux est leur liberté, ils sont généralement autodidactes et bien que leurs intentions ne soient pas mauvaises, ils font l’objet de plusieurs controverses car recherchent des failles sans autorisations officielles.

D’autres ont par contre suivi des études (ou non) afin d’être recruté par une entreprise et deviennent donc expert en sécurité informatique.

Le hack éthique en pratique : le pentesting

En réalité, le but du white hat va être de se mettre du côté des black hats pour justement trouver les failles, les vulnérabilités du système.

Lorsqu’il s’agit d’un expert en sécurité informatique au sein d’une entreprise celui-ci doit réaliser un audit pour estimer le niveau de sécurité global du système informatique de cette dernière mais cela passe par différentes pratiques que nous verrons dans un autre article qui sera bien plus complet et plus précis sur le rôle de l’expert en cybersécurité et sur comment atteindre cette profession.

J’aimerais ici uniquement aborder la partie de l’audit où le white hat se met dans la peau de l’attaquant, souhaitant s’introduire dans le système d’information pour y causer des dégâts : le test d’intrusion.

Le test d’intrusion (ou pentest), consiste à tenter de s’introduire dans le réseau ou une partie de ce réseau afin de démontrer qu’un pirate informatique pourrait également le faire.

 

pentester-hacking-ethique

 

Cela permet donc de dresser plusieurs listes comme un ensemble d’informations sensibles ou critiques, de vulnérabilités ou faiblesses dans le système de l’entreprise, de tester l’efficacité des systèmes détectant les intrusions, etc.

Au final, le pentesting est essentiel pour découvrir des vulnérabilités potentielles et proposer des solutions pour résoudre celles-ci.

Ce test d’intrusion se divise en deux catégories, il peut être effectué en mode dit « Black box », où le white hat ne dispose d’aucune information sur l’entreprise et se mets réellement dans la peau de l’attaquant.

Ou alors en mode « White box » en opposition au précédent mode où l’expert dispose de toutes les informations concernant le système de l’entreprise et travaille en collaboration avec le DSI (Directeur des Systèmes d’information) ou RSSI (Responsable de la Sécurité des Systèmes d’information) afin de détecter les vulnérabilités.

 

hacker-ethique-pentester

 

Il existe également un autre mode dit « Grey box » qui se situe entre ces deux derniers modes où on livre peu d’informations au pentester, généralement un compte utilisateur du système d’information.

Il existe différents outils pour réaliser un test d’intrusion, chacun ayant une fonction bien distincte puisque l’intrusion peut se faire via diverses vulnérabilités.

Metasploit étant un des plus utilisés dans le monde aide les entreprises à déterminer comment elles peuvent être piratée, Nmap, qui créer une carte précise du réseau et de ses ressources, SQLMap, pour repérer les défauts d’injection SQL, et bien d’autres.

Un que vous connaissez surement est Kali Linux, une distribution Linux basée sur Debian qui s’avère complète puisqu’elle regroupe de nombreux outils pour la réalisation des tests de sécurité d’un système d’information dont les outils cités précédemment.

kali-linux

Joffrey Outtier

Joffrey Outtier est le fondateur de sforsecure.fr, ce blog sur la sécurité informatique a été créé pour partager mes connaissances en cybersécurité et sensibiliser les utilisateurs aux dangers du numérique. Pour le suivre sur Twitter : @JoffreyO.