Audit de sécurité : tests d'intrusion et journaux

Informatique de gestion · Master 1

Auditer la sécurité d'un SI : scan, test d'intrusion, revue des accès et des journaux.

Introduction

Un audit de sécurité évalue si les mesures techniques et organisationnelles protègent réellement la confidentialité, l'intégrité et la disponibilité des systèmes. Il combine plusieurs techniques complémentaires. Le scan de vulnérabilités détecte automatiquement des faiblesses connues (logiciels non corrigés, configurations dangereuses) ; il est large mais produit des faux positifs. Le test d'intrusion (pentest) simule l'action d'un attaquant pour exploiter des failles et mesurer l'impact réel ; il est plus profond mais ponctuel.

La revue de configuration compare les paramètres des systèmes à des référentiels de durcissement. La revue des droits d'accès vérifie que les comptes correspondent à des besoins réels et que les départs ont été traités. L'analyse des journaux (logs) contrôle que les événements de sécurité sont enregistrés, protégés contre la modification, conservés et réellement surveillés.

Un test d'intrusion ne se mène jamais sans cadre : périmètre défini, autorisation écrite de l'organisation, règles d'engagement (dates, techniques permises, gestion des données rencontrées), car l'accès non autorisé à un système informatique est une infraction en droit suisse. Le rapport hiérarchise les failles selon leur gravité et leur exploitabilité et propose des mesures correctives.

Objectifs d'apprentissage

Distinguer scan de vulnérabilités et test d'intrusion
Définir le cadre d'autorisation d'un test d'intrusion
Planifier une revue des droits d'accès et des journaux
Prioriser des vulnérabilités dans un rapport

Concepts clés

Scan versus test d'intrusion: Le scan est automatisé, étendu et rapide mais superficiel ; le pentest est manuel, ciblé et démontre l'exploitabilité et l'impact. Les deux se complètent.
Cadre de test: Autorisation écrite, périmètre précis, fenêtre de temps, règles d'engagement, contact d'urgence et traitement confidentiel des résultats : sans cela, le test peut être illicite.
Priorisation: On combine la gravité technique, la probabilité d'exploitation et la criticité du système touché pour ordonner les correctifs.

Conclusion

L'audit de sécurité ne se réduit pas à un outil : il combine scans, tests d'intrusion, revues de configuration, d'accès et de journaux dans un cadre autorisé et documenté.

Sa valeur finale réside dans la priorisation des failles et le suivi des corrections, pour réduire concrètement le risque.

Cartes

Qu'est-ce qu'un scan de vulnérabilités ?: Une analyse automatisée qui détecte des faiblesses connues dans des systèmes ou applications.
Qu'est-ce qu'un test d'intrusion ?: Une simulation autorisée d'attaque visant à exploiter des failles pour mesurer leur impact réel.
Qu'est-ce qu'un faux positif ?: Une alerte signalant une vulnérabilité qui n'existe pas réellement.
Que signifie boîte noire, grise, blanche ?: Niveau d'information fourni au testeur : aucune, partielle ou complète sur le système testé.
Pourquoi une autorisation écrite est-elle indispensable ?: Parce qu'accéder sans droit à un système informatique est une infraction pénale ; l'accord et le périmètre protègent testeur et organisation.
Que contiennent les règles d'engagement ?: Périmètre, dates, techniques permises ou interdites, traitement des données rencontrées, contacts d'urgence.
Que vérifie la revue des droits d'accès ?: Que les droits correspondent aux fonctions, que les comptes inutiles sont supprimés et que les privilèges sont limités.
Que contrôle l'analyse des journaux ?: Que les événements pertinents sont enregistrés, protégés, conservés et effectivement surveillés.
Comment prioriser les failles ?: En croisant gravité, facilité d'exploitation et criticité de l'actif concerné.

Glossaire

Vulnérabilité: Faiblesse d'un système pouvant être exploitée.
Pentest: Test d'intrusion autorisé simulant une attaque réelle.
Durcissement: Réduction de la surface d'attaque par configuration sécurisée.
Règles d'engagement: Cadre convenu fixant limites et conditions d'un test.
SIEM: Outil centralisant et corrélant les journaux pour détecter des incidents.
Moindre privilège: Principe consistant à n'accorder que les droits nécessaires.