+33 02 98 85 58 88
contact@oksiigen.fr
1 Z.A de Bel Air – 29450 Sizun
Sécurisez vos infrastructures avec un Pentest de Niveau Expert
Une méthodologie offensive réelle : contrairement aux audits classiques, notre approche est certifiée OSCP (Offensive Security Certified Professional).
Cela garantit que nos tests simulent le comportement de hackers capables de contourner les protections les plus robustes.
Certification OSCP+
Cette certification de l’organisme Offensive Security est le standard d’excellence pour le hacking dit éthique.
Elle garantit à l’international une maîtrise technique totale lors de nos tests d’intrusion manuels sur vos infrastructures.
Domaines d’Intervention
Pentest d’Infrastructure : Audit de vos serveurs, réseaux internes et configurations Active Directory.
Pentest Web & API : Tests des vulnérabilités critiques (Injection SQL, XSS, Broken Authentication) selon le référentiel OWASP (Top 10 des vulnérabilités Web).
Pentest Cloud : sécurité des services et des ressources hébergés sur un environnement cloud
🔍 Notre Approche : Le Pentest Grey Box (Boite Grise)
Le pentest Grey Box (boîte grise) est le compromis idéal pour une PME. C’est une simulation d’attaque où l’expert possède un niveau d’accès limité, similaire à celui d’un utilisateur standard ou d’un partenaire de l’entreprise.
L’auditeur ne part pas de zéro (Black Box), mais il n’a pas non plus accès à l’intégralité du code source ou des schémas d’architecture (White Box). Pour l’accompagner il est possible de lui fournir :
- Un identifiant utilisateur classique.
- Une URL d’accès ou un point de connexion réseau.
- Une documentation technique sommaire.
🔥 Les 3 avantages clés pour une TPE/PME
- Efficacité Coût/Temps : En donnant quelques clés à l’auditeur, il ne perd pas de temps à « deviner » vos outils. Il passe 100% de son temps à chercher des vulnérabilités concrètes.
- Scénario de la « Menace Interne » : C’est le test parfait pour simuler un collaborateur malveillant ou un pirate qui aurait déjà volé les identifiants d’un de vos salariés (le cas le plus fréquent).
- Profondeur d’Analyse : Contrairement au Black Box où l’auditeur peut rester bloqué à la porte d’entrée, la Grey Box permet de vérifier ce qu’un attaquant peut faire une fois à l’intérieur (vol de base de données, modification de configuration, élévation de privilèges, etc.).
Déroulement de la Prestation pour vos Pentests
Auparavant nous délimitons bien sûr le périmètre avec vous, afin de définir les limites des différentes opérations.
1. Cadrage
Comprendre et définir le périmètre avant de commencer : que voulez-vous tester et auditer ? Quelles sont les données d’entreprise nécessaires ? Quelles sont les règles d’engagement ? Quelles sont les contraintes métiers ? Nous vous aidons à définir les différentes étapes selon vos besoins et votre contexte.
2. Exploration et analyse du réseau
L’auditeur se connecte à un réseau pour vérifier à quelles adresses IP il a accès. Il vérifie quels sont les services visibles, leurs versions, liste les ports ouverts, scan les vulnérabilités. Il lance également une analyse du Wifi d’entreprise. Il effectue également un scan du réseau externe.
3. Phase d’Attaque (Pentest)
L’auditeur simule une entrée par effraction dans le SI. Il exploite les services génériques et applications spécifiques de l’entreprise, casse les mots de passe, explore les configurations de l’Active Directory
4. Post Exploitation
Une fois que l’auditeur a compromis un élément du système il essaye d’en compromettre d’autres si possible à partir du premier élément compromis : Défauts de configuration, Récupération des mots de passe Admin, Déplacements latéraux.
5. Rapport Détaillé
Livraison d’un document complet classant les risques par criticité (CVSS) avec des mesures applicables sur le terrain qui prennent en compte vos contraintes métiers. Nous ne vous disons pas simplement de « mettre à jour » mais nous veillons à vous proposer des mesures adaptées à votre environnement et vos utilisateurs.
6. Mise à dispo de ressources
Selon vos connaissances techniques, votre disponibilité, le degré d’urgence, nous mettons à disposition des compétences techniques en temps partagé (RSSI, Admin Sys, Ingénieur Cyber) pour détailler de manières précises les failles et mettre en place des actions concrètes liées aux recommandations.
Vous souhaitez nous contacter sur ces sujets ?
Merci de remplir le formulaire, nous sommes déjà curieux de découvrir vos projets !
