Tests d’intrusion ou analyse de vulnérabilités : quelle différence ?

En bref, une analyse de vulnérabilités (VulScan) détecte les problèmes potentiels tandis que les tests d’intrusion (pentests) valident si les problèmes peuvent être exploités.

Une organisation peut utiliser l’une ou l’autre de ces solutions pour améliorer efficacement sa sécurité, mais les organisations les plus matures combinent les analyses de vulnérabilités et les tests d’intrusion afin de maximiser leurs bénéfices en matière de sécurité. Le tableau ci-dessous résume les principaux points de cet article. Chaque question sera examinée en détail avant que nous formulions des recommandations fondées sur notre analyse. Utilisez les intitulés du tableau ci-dessous pour accéder directement à la section qui vous intéresse.

Pour établir un cadre de référence commun, commençons par rappeler la définition de base des deux concepts essentiels à la sécurité des réseaux.

Qu’est-ce qu’une analyse de vulnérabilités ?

Une analyse de vulnérabilités, ou vulscan, effectue une vérification systématique des systèmes informatiques afin de rechercher les failles de sécurité connues. Il existe deux types d’analyses de vulnérabilités.

Les analyses de vulnérabilités de l’infrastructure informatique sont réalisées par les équipes informatiques ou de cybersécurité afin d’inspecter les systèmes informatiques internes, à l’aide de droits d’administration, pour rechercher des vulnérabilités dans les éléments suivants :

• Les équipements réseau internes, tels que les commutateurs et les routeurs
• Les serveurs de fichiers
• Les dispositifs de stockage en réseau (NAS)
• Les ordinateurs individuels
• Les périphériques tels que les imprimantes et les scanners
• Internet des objets (IoT) connectés au réseau, tels que les caméras de sécurité, les téléviseurs, etc.
• Les applications critiques et les processus internes, tels que Active Directory (AD) ; Domain Name System (DNS) ; ainsi que les logiciels de comptabilité, de banque ou de gestion des opérations

Les analyses de vulnérabilités des applications ou des sites web sont réalisées par des programmeurs des équipes d’exploitation du développement (DevOps) ou des équipes d’exploitation de la sécurité du développement (DevSecOps) afin d’analyser les bibliothèques logicielles, les interfaces de programmation d’applications (API), ainsi que les composants de la chaîne d’approvisionnement, à la recherche de vulnérabilités connues.

À lire également : 12 types d’analyses de vulnérabilités et quand les effectuer

Qu’est-ce qu’un test d’intrusion ?

Les tests d’intrusion, ou pentests, sondent les systèmes à la recherche de faiblesses afin de déterminer si elles peuvent être exploitées. Le test d’intrusion en boîte noire analyse l’infrastructure informatique externe de l’organisation, notamment les pare-feu, les serveurs web, les applications web, les passerelles, ainsi que les serveurs VPN. Ces tests sont réalisés sans connaissance approfondie de ses systèmes, mais différents tests d’intrusion utilisent des identifiants, testent la sécurité physique, impliquent l’ingénierie sociale, attaques par hameçonnage, des attaques par dépôt de clés USB, testent les limites de capacité des systèmes et bien plus encore.

Les bug bounties peuvent être considérés comme une forme de test d’intrusion qui incite des hackers éthiques non liés par contrat à rechercher une faille en leur versant une rémunération une fois celle-ci découverte, plutôt que dans le cadre d’un contrat convenu à l’avance. Toutefois, les bug bounties peuvent être imprévisibles et, bien qu’ils soient très utiles, il ne faut pas compter sur eux pour remplacer les tests d’intrusion formels.

À lire également : 7 types de tests d’intrusion : guide des méthodes et types de pentests

Quand utiliser les analyses de vulnérabilités et les tests d’intrusion

La justification simplifiée du choix entre les analyses de vulnérabilités et les tests d’intrusion peut s’exprimer ainsi :

• Analyses de vulnérabilités : Analyser l’infrastructure et découvrir les vulnérabilités connues
• Tests d’intrusion : Examiner les vulnérabilités découvertes pour vérifier si elles peuvent être exploitées et déterminer les dommages qui pourraient résulter de leur exploitation, ou découvrir les expositions non liées à des vulnérabilités dans les systèmes clés

Pour préciser, les analyses de vulnérabilités utilisent des outils commerciaux ou open source que le personnel informatique ou de sécurité moins expérimenté peut employer pour effectuer des tests périodiques, automatisés ou à la demande. Ces tests peuvent être réalisés rapidement et à moindre coût afin de détecter les vulnérabilités connues.

Cependant, les outils d’analyse de vulnérabilités ne peuvent pas déterminer avec quelle facilité la vulnérabilité détectée peut être exploitée ni l’ampleur des dommages pouvant résulter de son exploitation. Une expertise humaine, souvent sous la forme de tests d’intrusion, est nécessaire pour vérifier la possibilité d’exploiter la vulnérabilité détectée et l’étendue des dommages potentiels.

Les tests d’intrusion peuvent également révéler d’autres failles susceptibles d’exposer l’organisation à des risques que les analyses de vulnérabilités ne peuvent pas détecter. Par exemple, les pentests peuvent révéler des mots de passe faibles, des lacunes en matière de sécurité ou d’autres faiblesses de sécurité dues à une architecture de sécurité inadéquate.

Comment utiliser les analyses de vulnérabilités et les tests d’intrusion

Les analyses de vulnérabilités sont principalement basées sur des outils, si bien qu’une équipe de sécurité acquiert et configure souvent l’outil pour un usage interne. Pour les organisations disposant de ressources plus limitées, l’analyse de vulnérabilités peut être incluse dans les offres de fournisseurs de services informatiques gérés (MSP) et des fournisseurs de services de sécurité informatique gérés (MSSP), voire proposée sous la forme d’un service de gestion des vulnérabilités (VMaaS).

Les tests d’intrusion peuvent être réalisés par des équipes internes qui utilisent des outils de simulation de brèche et d’attaque (BAS). Toutefois, les équipes internes peuvent ne pas disposer de l’expertise nécessaire pour tester minutieusement les systèmes et être tentées, en raison de conflits d’intérêts, de dissimuler à la direction les failles potentielles de la configuration informatique. Les organisations font donc généralement appel à des fournisseurs tiers de tests d’intrusion ou à des MSSP spécialisés dans les pentests pour tester les actifs concernés (applications, sites web, pare-feu, conteneurs, etc.).

Les fournisseurs de pentests peuvent employer des hackers éthiques expérimentés qu’une organisation moyenne ne pourrait pas se permettre. Ces hackers mettent leur expérience à profit pour évaluer rapidement les systèmes, cibler les vulnérabilités les plus susceptibles d’être exploitées et utiliser des outils de piratage si nécessaire.

Popularité des analyses de vulnérabilités et des tests d’intrusion

La popularité relative des analyses de vulnérabilités et des tests d’intrusion est assez intéressante, car elle est inverse à leur utilisation et à la demande réelles. Chez les professionnels de l’informatique et de la sécurité, les analyses de vulnérabilités ont tendance à être moins populaires que les tests d’intrusion, car elles sont moins intéressantes sur le plan technologique que le piratage — elles ressemblent davantage à des devoirs. Cependant, les analyses de vulnérabilités sont généralement moins invasives, moins coûteuses et plus faciles à réaliser, ce qui explique qu’elles soient beaucoup plus utilisées par les organisations.

La popularité des tests d’intrusion, également appelés exercices de Red Team, peut se mesurer à la demande plus forte et au nombre de formations et de certifications consacrées aux techniques de Red Team, par comparaison avec les techniques défensives de Blue Team. Cette popularité est également biaisée par le fait qu’un pentester n’a besoin de trouver qu’un seul moyen d’entrer pour réussir, tandis qu’un défenseur de la Blue Team doit maîtriser toutes les tactiques possibles de la Red Team. Les équipes informatiques ont simplement le sentiment de ne pas pouvoir gagner en défense ; le piratage semble donc plus amusant.

Toutefois, les tests d’intrusion coûtent beaucoup plus cher et peuvent être difficiles à délimiter et à comprendre pour une organisation. Ces facteurs amènent certaines organisations à privilégier les analyses de vulnérabilités pour leurs besoins quotidiens et à éviter les tests d’intrusion, sauf si une norme de conformité les impose.

Fréquence des analyses de vulnérabilités et des tests d’intrusion

La plupart des organisations effectuent des analyses de vulnérabilités au moins une fois par trimestre, et réalisent des analyses supplémentaires après des changements importants de l’infrastructure informatique ou des mises à jour d’applications. Les organisations plus agressives peuvent effectuer des analyses mensuelles, hebdomadaires, voire continues. Après la correction des vulnérabilités découvertes, une nouvelle analyse ou un test d’intrusion sera nécessaire pour valider la correction.

Les normes de conformité définissent souvent la fréquence des analyses de vulnérabilités et des tests d’intrusion. La norme PCI Data Security Standard (PCI DSS) exige que des tests de vulnérabilités soient réalisés au moins une fois par trimestre et après chaque changement important de l’infrastructure informatique, des outils de sécurité ou des applications. Une étude récente de Veracode montre qu’une analyse de vulnérabilités plus fréquente a réduit des deux tiers le nombre habituel de vulnérabilités et diminué de plus de 30 % le délai de correction des vulnérabilités.

De nombreuses organisations ne réalisent jamais de test d’intrusion et, parmi celles qui le font, beaucoup se limitent à des tests d’intrusion externes annuels. Les organisations les plus sophistiquées effectuent des tests plus fréquemment, par exemple 2 à 4 fois par an, et ajoutent également des pentests après des changements importants de l’infrastructure, notamment pour les systèmes accessibles depuis Internet ou après la correction de problèmes précédemment découverts.

Les analyses de vulnérabilités et les tests d’intrusion sont-ils internes ou externes ?

Les outils d’analyse de vulnérabilités peuvent être appliqués à des systèmes externes, voire à des systèmes qu’une organisation ne contrôle pas. Toutefois, les outils de vulnérabilité ne cherchent pas à être furtifs et sont principalement utilisés sur des systèmes internes.

Les tests d’intrusion sont généralement effectués sur des actifs accessibles depuis l’extérieur, du point de vue d’un cyberattaquant. Toutefois, ils peuvent également être réalisés en interne sans identifiants, afin de simuler des attaquants ayant obtenu des identifiants compromis avec un accès limité (pentest en boîte grise), ou avec des identifiants complets pour des tests plus approfondis (pentest en boîte blanche).

À lire également : 7 types de tests d’intrusion : guide des méthodes et types de pentests

Durée nécessaire à la réalisation des analyses de vulnérabilités et des tests d’intrusion

Les analyses de vulnérabilités prennent généralement quelques heures, mais leur durée totale varie considérablement selon le nombre de systèmes analysés et leur type. L’analyse de systèmes de grande taille peut prendre plusieurs jours, tandis qu’un vulscan simple d’un petit bureau peut ne prendre que quelques minutes.

Comme les vulscans, la durée des tests d’intrusion varie fortement et dépend du nombre de systèmes testés et du type de pentests requis. Un test classique prend généralement plusieurs semaines, mais peut durer plusieurs mois lorsqu’il s’agit d’un test exhaustif, notamment pour les organisations multinationales disposant de plusieurs bureaux et souhaitant réaliser des tests d’ingénierie sociale, de sécurité physique ou d’autres pentests chronophages.

Les analyses de vulnérabilités et les tests d’intrusion génèrent-ils des faux positifs ?

L’analyse de vulnérabilités détecte souvent des vulnérabilités qui sont ensuite considérées comme des faux positifs. Les analyses peuvent également repérer de vrais positifs présentant un risque associé négligeable. Quoi qu’il en soit, chaque vulnérabilité détectée doit être vérifiée, puis corrigée ou marquée comme devant être ignorée.

Les pentests bas de gamme qui utilisent uniquement des logiciels prêts à l’emploi produisent les mêmes faux positifs que ceux qui affectent les vulscans. Les tests d’intrusion efficaces ne génèrent généralement aucun faux positif, car leurs résultats vérifient le risque d’exploitation en démontrant que le hacker peut accéder à des données protégées ou provoquer une perturbation opérationnelle.

Naturellement, après avoir pris en compte les faux positifs, il faut se demander si des faux négatifs sont possibles. Les deux formes de test rendent uniquement compte des vulnérabilités trouvées, mais n’indiquent pas que les autres actifs ne présentent aucune vulnérabilité. Au sens strict de la définition, aucun faux négatif n’est généralement produit, car aucune des deux procédures de test ne génère de rapport indiquant que les systèmes sur lesquels aucune faille n’a été détectée sont « sains ».

Toutefois, les deux formes de test peuvent passer à côté de vulnérabilités. Les analyses de vulnérabilités manqueront toujours les vulnérabilités qui ne sont pas encore enregistrées dans leurs bases de données ou qui se trouvent sur des actifs non analysés. Des actifs peuvent être ignorés soit parce que l’outil n’est pas capable d’analyser une catégorie d’actifs (comme les conteneurs Kubernetes), soit parce que la liste des actifs n’a tout simplement pas été mise à jour avant l’analyse.

Les tests d’intrusion ont tendance à avoir une portée limitée et ne peuvent généralement pas tester tous les systèmes ni toutes les vulnérabilités possibles. Même le pentester le plus expérimenté ne peut pas connaître toutes les vulnérabilités possibles, et la plupart des organisations n’ont ni le budget ni le temps nécessaires pour tester tous les systèmes possibles. Les pentesters choisissent donc de se concentrer sur les systèmes les plus susceptibles d’être vulnérables et sur les vulnérabilités les plus probables.

Exhaustivité des analyses de vulnérabilités et des tests d’intrusion

Les analyses de vulnérabilités ciblent toute l’infrastructure concernée et sont généralement limitées uniquement par les capacités de l’outil d’analyse. La plupart peuvent rechercher des dizaines de milliers de vulnérabilités, mais une équipe de sécurité doit également reconnaître que les outils de vulnérabilité ne peuvent rechercher que les vulnérabilités et déjà programmées dans l’outil d’analyse et présentes sur un appareil détecté pour l’analyse.

Cette limite n’est ni inhabituelle ni problématique, tant que l’équipe de sécurité reconnaît que même les systèmes analysés ne peuvent pas être considérés comme exempts de vulnérabilités. Les équipes informatiques et de sécurité doivent également veiller à mettre à jour l’outil afin qu’il analyse tous les actifs disponibles et qu’aucun actif analysable ne soit simplement oublié.

De nombreux outils d’analyse de vulnérabilités sont également spécialisés par catégorie d’actifs. Par exemple, certains ne peuvent analyser que les applications ou les sites web et d’autres ne peuvent analyser que les systèmes d’exploitation Windows et macOS. Les catégories d’actifs moins courantes, telles que les équipements réseau, les périphériques (imprimantes, disques durs externes, etc.), l’Internet des objets (IoT), les systèmes de contrôle industriel (ICS) et les technologies industrielles ou opérationnelles (OT), nécessitent souvent des outils d’analyse de vulnérabilités spécialisés ou une investigation manuelle.

Les tests d’intrusion ont tendance à être limités en raison des budgets, des contraintes de temps et des capacités des testeurs. Les pentests ne testent pas seulement les vulnérabilités connues : ils peuvent également découvrir des vulnérabilités inconnues, des lacunes de sécurité et des faiblesses de sécurité qui ne sont techniquement pas des vulnérabilités, mais simplement le résultat d’une architecture de sécurité médiocre. Toutefois, bien qu’ils puissent sonder plus profondément que les vulscans, les pentests sont généralement moins exhaustifs et se concentrent sur l’expertise du pentester ou sur les systèmes que l’organisation peut se permettre de tester.

Analyses de vulnérabilités et tests d’intrusion : exigences minimales

Le niveau minimal d’analyse de vulnérabilités équivaut à la gestion des correctifs et consiste à examiner les systèmes informatiques traditionnels (serveurs, postes de travail et ordinateurs portables) pour repérer les systèmes qui n’ont pas reçu les correctifs nécessaires. Pour les tests d’intrusion, le niveau minimal consiste généralement à effectuer des pentests externes sur les systèmes accessibles depuis Internet.

Toutefois, dans ces deux cas minimaux, les organisations doivent reconnaître que ces tests correspondant aux exigences minimales les laisseront probablement exposées à des risques. La plupart des organisations limitent les tests au minimum afin de réduire les dépenses, mais même ces exigences minimales dépendent des réglementations de conformité applicables.

Toutefois, cette situation est probablement appelée à évoluer au cours des prochaines années. L’État de New York exige déjà à la fois des tests d’intrusion et des évaluations de vulnérabilités pour ses institutions financières, tandis que la norme PCI DSS et le cadre de cybersécurité du National Institute of Standards and Technology (NIST) (800-115) comptent les analyses de vulnérabilités parmi leurs exigences de base.

Certains fournisseurs et consultants proposent des pentests automatisés à bas coût. Toutefois, ces tests s’avèrent souvent inefficaces et produisent des résultats similaires à ceux des analyses de vulnérabilités. Ces approches minimales peuvent détecter des vulnérabilités faciles à trouver et bien connues, mais ne sont généralement pas assez rigoureuses pour satisfaire la plupart des exigences de conformité.

À lire également : Qu’est-ce qu’un framework de pentest ? Les 7 frameworks expliqués

Perturbations des opérations dues aux analyses de vulnérabilités et aux tests d’intrusion

Les analyses de vulnérabilités sondent chaque port de chaque appareil afin de rechercher les vulnérabilités connues, ce qui peut entraîner des problèmes de bande passante réseau, voire une instabilité des systèmes. Les tests plus sophistiqués sondent les équipements réseau et vérifient les erreurs de configuration, ce qui impose une charge encore plus importante aux systèmes.

La plupart des organisations planifient les analyses de vulnérabilités en dehors des heures de travail afin de réduire au minimum les perturbations des opérations et peuvent même exclure certains systèmes connus pour être sensibles à l’analyse. Une organisation disposant de capacités d’analyse automatisée des vulnérabilités peut également effectuer une analyse chaque fois qu’un nouvel appareil est connecté au réseau ; cela permet aussi que les analyses futures soient incrémentielles et se concentrent sur les vulnérabilités ou les appareils qui n’ont pas été analysés au cours du dernier mois ou du dernier trimestre.

Les tests d’intrusion peuvent également perturber les opérations avec certains types de tests. Toutefois, les pentesters reconnaissent généralement l’ampleur des perturbations susceptibles d’être causées et peuvent préparer à l’avance l’organisation à la reprise. Pour les tests extrêmement perturbateurs qui pourraient entraîner une perte de données ou une interruption complète des opérations, une organisation peut créer un environnement de test que les hackers sonderont, afin qu’un piratage réussi n’affecte pas les opérations.

Les tests d’intrusion sont souvent perçus comme un exercice visant à pénétrer dans les systèmes pour voler des données. Bien que cette définition soit valable, elle ignore d’autres formes de tests d’intrusion, telles que les tests de capacité en volume de l’infrastructure, notamment lors de tests de résilience face aux attaques par déni de service distribué (DDoS).

Comment gérer la surcharge due aux analyses de vulnérabilités et aux tests d’intrusion

De nombreuses organisations qui doivent effectuer des analyses de vulnérabilités ou des tests d’intrusion peuvent être submergées par les résultats en raison de contraintes de ressources (budget, effectifs, etc.).

Dans le cas de l’analyse de vulnérabilités, il est souvent possible de contrôler la surcharge en ignorant les vulnérabilités connues ou en filtrant les vulnérabilités à l’aide du CVSS ou d’un classement fondé sur les risques. De même, la surcharge liée aux tests d’intrusion peut être maîtrisée grâce à des tests progressifs ou partiels.

Par exemple, les vulscans des établissements de santé détectent notoirement de nombreux problèmes, car de nombreux appareils d’imagerie médicale fonctionnent avec des systèmes d’exploitation qui ne reçoivent plus de mises à jour (voir Trois façons de protéger les risques de sécurité impossibles à corriger). Au lieu de produire la même liste de vulnérabilités à chaque analyse, l’organisation peut exclure des analyses régulières les appareils présentant des vulnérabilités connues afin de se concentrer sur les nouveaux problèmes.

Les analyses submergent également souvent une organisation de vulnérabilités présentant de faibles scores du Common Vulnerability Scoring System (CVSS) qui ne peuvent soit pas causer de dommages importants, soit être difficiles à exploiter. Pour éviter la surcharge, une organisation peut choisir d’ignorer les résultats inférieurs à un classement donné ou de filtrer les vulnérabilités dans un logiciel de gestion des vulnérabilités afin de se concentrer sur les vulnérabilités prioritaires.

Le filtrage fondé sur les risques est similaire au filtrage CVSS, mais au lieu de se concentrer sur la vulnérabilité, l’organisation s’intéresse à l’importance de l’actif et à la probabilité d’exploitation. Par exemple, une organisation peut ignorer une vulnérabilité d’exfiltration de données fortement classée sur un serveur contenant des documents marketing accessibles au public, et privilégier une vulnérabilité d’élévation de privilèges moins bien classée dans la base de données de paiement par carte bancaire, en raison des dommages potentiels pour l’organisation.

Les limites des tests d’intrusion amènent souvent à se concentrer sur certains types de tests ou certains systèmes au cours d’une période donnée, les autres tests étant reportés à plus tard.

Bien que les organisations puissent utiliser toutes ces techniques pour limiter la portée et l’ampleur des tests, elles doivent également reconnaître que ces limitations peuvent les exposer à des attaques potentielles via des systèmes ou des vulnérabilités ignorés.

Bien entendu, les fournisseurs de services peuvent offrir une autre solution aux organisations qui peuvent obtenir des ressources supplémentaires par l’externalisation. Une grande variété de fournisseurs MSP, MSSP ou même de fournisseurs de services de gestion des vulnérabilités (VMaaS) peuvent permettre aux organisations de gérer la surcharge sans rester exposées à un risque accru d’attaque.

Coûts des analyses de vulnérabilités et des tests d’intrusion

Les analyses de vulnérabilités sont généralement des options dont le coût est modéré à faible, les dépenses dépendant principalement du coût des outils. Toutefois, les organisations doivent également tenir compte du temps consacré par les équipes informatiques ou de sécurité à installer, configurer, maintenir et utiliser l’outil, ainsi qu’à analyser les résultats.

Les tests d’intrusion ont tendance à être plus coûteux car ils nécessitent généralement de faire appel à des fournisseurs externes employant des professionnels hautement qualifiés des tests d’intrusion. Heureusement, les coûts des pentests peuvent être maîtrisés par les organisations grâce à une préparation et à un contrôle de la portée des tests.

Avantages des analyses de vulnérabilités et des tests d’intrusion

Les analyses de vulnérabilités et les tests d’intrusion apportent tous deux une grande valeur à toute organisation.

Les vulscans identifient les vulnérabilités à valider, catégoriser, hiérarchiser et corriger. Les outils automatisés permettent d’identifier rapidement et en continu les systèmes et services à risque, afin d’aider les organisations à réduire les possibilités d’exploitation par des attaquants.

Les tests d’intrusion vérifient si les vulnérabilités peuvent être exploitées et recherchent d’autres lacunes de sécurité susceptibles de compromettre les données ou d’endommager les systèmes. Des pentests efficaces aident les organisations à renforcer davantage leurs systèmes et à réduire les possibilités pour des attaquants malveillants de causer des dommages.

En résumé : pour de meilleurs résultats, utilisez à la fois les vulscans et les pentests

Lorsqu’une équipe informatique peine à suivre sa charge de travail, les analyses de vulnérabilités et les tests d’intrusion semblent représenter plus de problèmes qu’ils n’en valent la peine, en particulier lorsqu’une solide sécurité périmétrique est en place. Toutefois, un simple clic malencontreux peut suffire à permettre à un attaquant de pénétrer dans l’organisation et d’exploiter toutes les faiblesses disponibles.

En utilisant à la fois les vulscans et les pentests, une organisation peut détecter davantage d’oublis, d’erreurs et de lacunes de sécurité. Les organisations qui souhaitent réellement éviter les maux de tête, les risques et les conséquences d’une violation de données effectueront régulièrement des tests d’intrusion et des analyses de vulnérabilités. Compte tenu du coût élevé d’une violation de données, la prévention est un investissement rentable.

Pour aller plus loin :

• Les 8 meilleurs outils d’analyse de vulnérabilités pour 2023
• Les meilleurs outils open source de tests d’intrusion
• Les meilleurs logiciels et outils de gestion des correctifs
• Les meilleurs outils de gestion des vulnérabilités