Test d’intrusion – Mise en situation d’audit

Objectifs & compétences

Savoir organiser une procédure d'audit de sécurité de type test de pénétration sur son SI
Se mettre en situation réelle d'Audit
Mettre en application les compétences techniques acquises dans le cadre d'une intervention professionnelle
Être en mesure de rédiger un rapport d'audit professionnel
Savoir présenter et transmettre un rapport d'audit

Public visé

RSSI
Consultants en sécurité
Techniciens
Auditeurs amenés à faire du Pen Test ou ceux qui veulent se perfectionner en Pen Test
Administrateurs systèmes / réseaux

Pré-requis

Avoir suivi la formation "Hacking et Sécurité - Niveau avancé" (SO001) ou disposer des compétences équivalentes

Programme

MÉTHODOLOGIE DE L'AUDIT

OBJECTIFS ET TYPES DE PEN TEST
Qu'est ce qu'un Pen Test ?
Le cycle du Pen Test
Différents types d'attaquants
Types d'audits : boîte noire, boîte blanche, boîte grise
Avantages du Pen Test
Limites du Pen Test
Cas particuliers : dénis de service, ingénierie sociale

ASPECT RÈGLEMENTAIRE
Responsabilité de l'auditeur
Contraintes fréquentes
Législation : Articles de loi
Précautions
Points importants du mandat

EXEMPLES DE MÉTHODOLOGIES ET D'OUTILS
Préparation de l'audit
Déroulement
Cas particuliers
Habilitations
Dénis de service
Ingénierie sociale
Déroulement de l'audit
Reconnaissance
Analyse des vulnérabilités
Exploitation
Gain et maintien d'accès
Comptes rendus et fin des tests

MISE EN PRATIQUE SUR METASPLOITABLE
Attaque de la machine virtuelle Metasploitable
Recherche d'informations
Recherche de vulnérabilités
Exploitation des vulnérabilités
Maintien de l'accès

ÉLÉMENTS DE RÉDACTION D'UN RAPPORT
Importance du rapport
Composition
Synthèse générale
Synthèse technique
Évaluation du risque
Exemples d'impacts
Se mettre à la place du mandataire

PRÉPARATION DU RAPPORT D'AUDIT
Mise en forme des informations collectées lors de l'audit
Préparation du document et application de la méthodologie vue lors du premier jour

ÉCRITURE DU RAPPORT
Analyse globale de la sécurité du système
Description des vulnérabilités trouvées
Définition des recommandations de sécurité
Synthèse générale sur la sécurité du système

TRANSMISSION DU RAPPORT
Précautions nécessaires
Méthodologie de transmission de rapport
Que faire une fois le rapport transmis ?

Modalités

Méthodes