Catalogue Audit «Test Intrusion»

Transcription

1 Catalogue Audit «Test Intrusion»

2 Ne plus imaginer son niveau de sécurité : Le mesurer! À CHACUN SON APPROCHE! 1. par un «Scénario» L objectif est de réaliser un scénario d attaque concret de son Système d Information (SI). L ingénieur se met dans la peau d un : Hackeur, Employé, Stagiaire, Fournisseur, Client, Par un «Périmètre» L objectif est de valider le niveau de sécurité d un périmètre de son SI. Par exemple : Application, Connexion sans fil, Téléphonie, Sécurité électronique, Salle accessible au public, Paiement en ligne, COMPLÉTER LES TESTS D INTRUSION! par des «Scans Automatisés» Le scan automatisé permet d obtenir une vision globale de son SI. Cet audit complète les test d intrusion réalisés par nos ingénieurs. DÉCOUVRIR L INTÉRÊT DES AUDITS DE SÉCURITÉ! Audit de «Sensibilisation» Nos audits permettent de sensibiliser les chefs d entreprises et les employés aux risques liés à l informatique : Sensibilisation des entreprises «CHALLENGE» Sensibilisation du personnel «CERTICOMTEST»

3 APPROCHE PAR UN «SCÉNARIO» Scénario «HACKEUR» L ingénieur se met dans la peau d un hackeur. C est une personne externe à l entreprise. Depuis le parking ou les locaux de l entreprise en tant que visiteur Internet / Intranet / Extranet Accès à distance Téléphonie IP ou Analogique Réseau sans fil Application Web Salle accessible au public Sécurité électronique Mesurer le niveau de sécurité depuis une attaque externe Scénario «EMPLOYÉ» L ingénieur se met dans la peau d un employé. C est une personne interne à l entreprise. en mode Télétravail Selon les accès de l employé : de son poste, de son statut, de ses droits, Mesurer le niveau de sécurité depuis les accès des employés Vérifier le cloisonnement des données de l entreprise Scénario «STAGIAIRE» L ingénieur se met dans la peau d un stagiaire. C est une personne interne à l entreprise. Selon les accès des stagiaires Mesurer le niveau de sécurité depuis les accès des stagiaires Vérifier le cloisonnement des données de l entreprise

4 APPROCHE PAR UN «SCÉNARIO» Scénario «FOURNISSEUR» L ingénieur se met dans la peau d un fournisseur. C est une personne externe à l entreprise. avec les accès externes des fournisseurs Selon les accès des fournisseurs Mesurer le niveau de sécurité depuis les accès des fournisseurs Vérifier le cloisonnement des données de l entreprise Scénario «CLIENT» L ingénieur se met dans la peau d un client. C est une personne externe à l entreprise. Selon les accès des clients Mesurer le niveau de sécurité depuis les accès des clients Vérifier le cloisonnement des données de l entreprise

5 APPROCHE PAR UN «PÉRIMÈTRE» Périmètre «APPLICATION» L ingénieur se met dans la peau d une personne interne ou externe ayant des accès à une application de l entreprise. Selon les accès de l application (Interne ou Web) Création d un compte sur l application Depuis l adresse ou le code de l application Mesurer le niveau de sécurité de l application En tant que client : Vérifier que les applications ne sont pas des points d entrée dans l entreprise En tant que fournisseur : Vérifier le niveau de sécurité de son application Périmètre «PRODUIT» L ingénieur se met dans la peau d une personne interne ou externe ayant des accès à un produit de l entreprise. Produits ayant : Une connexion au système d information : Caméra, Machine industrielle, Écran d accueil, Une connectivité (sans connexion directe au SI): machine industrielle, électroménager, Mesurer le niveau de sécurité de ses produits En tant que client : Vérifier que les produits ne sont pas des points d entrée dans l entreprise En tant que fournisseur : Vérifier le niveau de sécurité de son produit

6 APPROCHE PAR UN «PÉRIMÈTRE» Périmètre «CONNEXION SANS FIL» L ingénieur se met dans la peau d une personne interne ou externe ayant des accès aux différentes connexions sans fil de l entreprise. Depuis le parking de l entreprise WIFI : entreprise, invité, produits, machines industrielles, imprimantes, vidéo-protection, Projecteurs Réseau Ad-Hoc Bluetooth (Mac, Portable, Ordinateur si activé, Machine, Imprimante, ) Téléphone : IP, sans fil,... Vérifier que les réseaux SANS FIL ne sont pas une porte d entrée pour les hackeurs Avoir une vision globale des réseaux SANS FIL activés Repérer les réseaux mal configurés Proposer un plan de remédiation Périmètre «TÉLÉPHONIE DE L ENTREPRISE» L ingénieur se met dans la peau d une personne interne ou externe ayant des accès à la téléphonie de l entreprise. Téléphonie analogique Téléphonie IP Mesurer le niveau de sécurité de la téléphonie de l entreprise Prendre la main sur les équipements en contournant les équipements de sécurité du système d information Passer des communications surtaxées avec l infrastructure de l entreprise

7 APPROCHE PAR UN «PÉRIMÈTRE» Périmètre «SÉCURITÉ ÉLECTRONIQUE» L ingénieur se met dans la peau d une personne interne ou externe de l entreprise. Alarme intrusion avec une Télésurveillance ou une Télémaintenance Alarme incendie avec une Télésurveillance ou une Télémaintenance Système de vidéo protection avec une Levée de Doute Vidéo ou une Télémaintenance Contrôle d accès avec une Télésurveillance ou une Télémaintenance Évaluer le niveau de sécurité de la sécurité électronique : Prendre la main sur les équipements Visionner l intérieur de l entreprise Neutraliser les alarmes de sécurité Périmètre «ÉLÉMENTS DU SYSTÈME INFORMATIQUE» L ingénieur se met dans la peau d une personne interne ou externe de l entreprise. Éléments du SI étant configurés depuis le SI, ayant une connexion à distance ou une connectivité : photocopieurs, cafetières, télévisions, bornes libres service, bornes internet, Mesurer le niveau de sécurité des éléments reliés au SI Prendre la main sur les équipements en contournant les équipements de sécurité du système d information Détourner l intérêt premier des éléments

8 APPROCHE PAR UN «PÉRIMÈTRE» Périmètre «SALLE ACCESSIBLE AU PUBLIC» L ingénieur se met dans la peau d une personne interne ou externe de l entreprise. Salle accessible au public avec des prises Réseau, du WIFI, Bluetooth,... Évaluer le niveau de sécurité de l entreprise depuis les salles accessibles à tous Périmètre «PAIEMENT EN LIGNE» L ingénieur valide le niveau de sécurité du périmètre par la validation du questionnaire PCI-DSS et l utilisation d un outil adapté PCI. Périmètre incluant les données bancaires Valider la démarche PCI DSS Accompagner les entreprises dans la validation du questionnaire PCI DSS Accompagner les entreprises dans les étapes d utilisation du scanner et dans les explications des points à corriger.

9 NOS AUDITS DE «SENSIBILISATION» L ingénieur se met dans la peau d un hackeur. Sensibilisation des entreprises «CHALLENGE» C est une personne externe à l entreprise sans aucun accès physique et «électronique». Internet 1/2 à 1 journée selon la taille de votre entreprise Sensibiliser les entreprises aux risques informatiques Rechercher des vulnérabilités dans un temps limité sur un périmètre précis Repérer des points d entrées Sensibilisation du personnel «CERTICOMTEST» L ingénieur se met dans la peau d un hackeur. C est une personne externe à l entreprise. Internet Envoi d un faux mail ou SMS Malveillant Variable selon la mission Mesurer le niveau de sensibilisation du personnel Mesurer la résistance du système d information Tester les réactions de l équipe informatique de l entreprise Mettre en place une campagne de sensibilisation du personnel