Vous souhaitez être appelé gratuitement par un de nos conseillers ?

Nos conseillers sont disponibles du lundi au vendredi de 9h à 12h et de 14h à 18h

Merci, nos conseillers vont vous rappeler.

Demander une démo
fr / en /
Demander une démo
fr / en /

Pentest et « scanner de vulnérabilités », les deux font la paire !

par ESBD • 30 Juin 2021

Le pentest et le scanner de vulnérabilités sont deux outils indispensables à la mise en œuvre d’une stratégie de sécurité performante. Toutefois connaissez-vous les différences et les complémentarités de ces deux dispositifs de cybersécurité ?

Qu’est-ce qu’un « scanner de vulnérabilités » ?

C’est un logiciel qui a pour but d’analyser votre système d’information afin d’en détecter les vulnérabilités sur vos ressources. Il permet d’analyser différents types de ressources comme les matériels (réseaux, imprimantes, etc.), systèmes (Windows, Linux, MacOs, etc.) ainsi que des applications (applications web, sites Internet etc.). La profondeur d’analyse dépendra de la performance du « moteur » de scan. Il faut savoir qu’il n’existe dans le monde que quatre éditeurs qui ont la maîtrise du développement du « moteur » ; Les autres éditeurs utilisent sous licence l’un de ces quatre « moteur ».

Un scanner va identifier vos vulnérabilités en comparant le niveau de version logiciel de votre ressource avec son encyclopédie répertoriant les failles de sécurité. Cette encyclopédie est constituée par agrégation de toutes les alertes de sécurité pouvant être émises par les agences nationales de cyberdéfense ainsi que par les éditeurs eux-mêmes.

A l’image d’un gardien faisant sa ronde sur un site industriel pour s’assurer que toutes les portes sont bien fermées, le scanner de vulnérabilités va de façon automatique s’assurer qu’une nouvelle faille de sécurité n’a pas été identifiée et que l’une de vos ressources se retrouve alors exposée à une potentielle attaque.

Un « scanner de vulnérabilités » c’est le gardien infatigable de votre système d’information ! Suivant le niveau de maturité des solutions de tests de vulnérabilités, vous pourrez bénéficier de fonctionnalités allant de la planification de l’exécution des mises à jour sur vos ressources en passant par le recensement de vos ressources et leur classification pour permettre de faire les bons choix en matière de criticité et de priorisation des actions à réaliser. D’autre part, certaines solutions vont même jusqu’à proposer un module dit « Compliance » pour établir des rapports d’audit afin de mesurer les écarts entre votre niveau de cybersécurité et votre Politique de Sécurité du Système d’Informations – PSSI.

A quoi sert un « pentest » ?

Si l’on reprend l’image du gardien qui surveille le périmètre sur le site qu’on lui a confié, le pentest serait, quant à lui, cette équipe d’experts de l’effraction qui tente par tous les moyens de pénétrer sur le site sous surveillance pour en éprouver la résistance à l’intrusion.

Un pentest est mené par une équipe d’experts en cyberattaque. La durée d’un pentest est très variable suivant la sophistication des scenarii d’attaques mis en œuvre lors de l’audit du site.

Les méthodes et outils employés sont identiques à ceux utilisés par les Hackers. Cette démarche permet d’établir un rapport sur la résistance de votre site face à des tentatives d’intrusion bien réelles. Des recommandations seront bien sûr proposées à l’issue de ce type de prestation.

Conclusion

Un pentest est une prestation qui permettra à un instant T d’avoir une vision précise du niveau de cybersécurité dans l’entreprise ou l’organisation. Il va également permettre de mettre en œuvre des actions correctives et curatives en réponse à des failles de sécurité identifiées mais également par l’application de bonnes pratiques de la part des utilisateurs pour relever le niveau de sécurité du site.

Vous l’aurez compris, le pentest c’est un audit qui peut prendre plusieurs semaines pour identifier les « portes ouvertes » et les risques potentiels avec à la clef des propositions pour corriger le tir alors que le scanner de vulnérabilités assure en continu une surveillance de vos actifs informatiques et vous alerte dès qu’une faille est identifiée. Ces deux solutions (l’une ponctuelle et l’autre permanente) sont donc complémentaires !

 

Découvrez Cyberwatch la solution de supervision des vulnérabilités et contrôle des conformités. 

S'inscrire à la newsletter

Restez informé de l’actualité ESBD

Merci de vous être abonné(e) à notre newsletter.