Le rendez-vous Tech
Spécial : le métier de "Pen Tester" (Sponso NordVPN)
Patrick Beja reçoit Stéphane Le Boisselier pour un épisode spécial consacré au métier de « pen tester » (testeur d'intrusion ou hacker éthique). Stéphane détaille les compétences requises, les formations existantes, la réalité quotidienne des missions entre tests internes, externes et exercices de Red Team, ainsi que l'évolution de la cybersécurité face aux menaces actuelles comme les ransomwares.
Au micro
Qui parle, et combien.
Stéphane Le Boisselierco-animateur62 %
Patrick Bejaanimateur38 %
Au programme
- Introduction au métier de pen testerPrésentation du rôle de hacker éthique, de l'image de « James Bond » de l'informatique et comparaison avec le métier d'enquêteur forensic.
- Formations et compétences requisesÉvolution du profil des experts, filières universitaires et écoles spécialisées, ainsi que les compétences techniques et la curiosité indispensables.
- Déroulement et typologie des tests d'intrusionExplication du cadrage des besoins, des différences entre tests internes et externes, des approches Black Box et Grey Box, et de la prise de contrôle d'Active Directory.
- Tarification et opérations avancées : la Red TeamOrdres de grandeur des tarifs journaliers, principe d'affrontement entre Red Team et Blue Team, intrusion physique et défis de type Capture The Flag.
- Évolution de la menace et prise de conscienceImpact des crises de ransomwares sur les PME, fin de l'insouciance pour les petites structures et dispositifs d'aide comme France Relance avec l'ANSSI.
- Ingénierie sociale, reporting et travail d'équipeUtilisation du social engineering et du phishing, rédaction cruciale des rapports d'audit et diversité des cibles incluant l'IoT et les systèmes industriels.
Ça a débattu
Là où ils n'étaient pas d'accord.
Le mode opératoire d'un pen test : infiltration surprise ou contrat ultra-cadré 🔥
- Patrick Beja : Imagine qu'on donne carte blanche au pen tester qui agit ensuite par surprise sans prévenir pour tester l'entreprise.
- Stéphane Le Boisselier : Précise que les interventions sont au contraire strictement délimitées, avec convention, adresses IP précises et plages horaires déclarées pour éviter la panique des équipes.
Le risque qu'un pirate profite d'une fenêtre de pen test pour s'infiltrer 🔥
- Patrick Beja : Se demande si un hacker malveillant ne pourrait pas profiter du sillage d'un pen test pour frapper pendant que l'alerte est minimisée.
- Stéphane Le Boisselier : Rappelle qu'en pratique les hackers cherchent surtout le moment où ils ont le moins de chances d'être détectés, typiquement le vendredi soir ou le samedi matin.
Ils l'ont dit
Mot pour mot.
« Dans la cyber, on a deux métiers qui vendent un peu du rêve comme ça. On a les James Bond un peu là, donc on va parler des pen testers ou des ethical hackers comme on les appelle aussi. »
« Hacker à la base c'est pas pirate, hacker à la base c'est détourner quelque chose de son usage initial. »
« C’est un petit peu les James Bond du monde de la sécurité, en tout cas c’est l’image que j’en ai moi. »
Moments
- Stéphane raconte le pen test d'une PME où le client avait oublié de mentionner que son informatique était chez un hébergeur, provoquant un coup de fil d'urgence de ce dernier face à la pluie d'alertes.
- L'anecdote de Stéphane aux États-Unis qui a dérobé le badge d'un informaticien parti aux toilettes pour aller démonter et voler le disque dur du directeur en guise de trophée Capture The Flag.
- L'anecdote d'une mission Red Team chez une entreprise de transport où les auditeurs ont neutralisé l'alarme, ouvert le coffre des clés et garé tous les camions à quatre kilomètres de là.