IDOR : la faille qui a exposé des millions de comptes.
11,7 millions de comptes exposés en modifiant un identifiant. Comprendre l'IDOR (Broken Access Control) et s'en protéger.
Imaginez une maison que vous voulez rendre sûre. Vous pouvez engager un contrôleur qui passe pièce par pièce, sa liste à la main, et coche ce qui est aux normes : serrures homologuées, détecteurs de fumée, câblage aux règles. Vous pouvez engager un cambrioleur repenti à qui vous dites « voici la maison, essaie d'entrer et raconte-moi comment tu as fait ». Ou vous pouvez, sans prévenir personne, payer une équipe pour qu'elle tente de s'introduire une nuit et voir si votre chien aboie, si l'alarme se déclenche, si le voisin appelle la police. Ce sont trois métiers différents. Ce sont, en cybersécurité, l'audit, le test d'intrusion et la red team.
« On voudrait un pentest » : derrière cette demande banale se cache presque toujours une confusion entre ces trois exercices. Et se tromper, ce n'est pas anodin : c'est payer pour le contrôleur quand on avait besoin du cambrioleur, ou lancer l'équipe de nuit sur une maison dont les fenêtres ne ferment même pas. Voici comment les distinguer, et surtout dans quel ordre les enchaîner.
En résumé
- Trois métiers, pas trois niveaux : le contrôleur qui coche sa liste (l'audit), le cambrioleur mandaté qui prouve un chemin (le pentest), et l'équipe qui vient de nuit pour tester le chien et l'alarme (la red team).
- L'audit compare l'état réel à un référentiel et voit large, parce qu'on lui ouvre toutes les portes. Sa limite : une case « conforme » ne dit pas si la faille est atteignable dans la vraie vie.
- Le pentest ne liste pas des écarts théoriques, il démontre un chemin d'attaque réel sur un périmètre défini, priorisé par criticité. En France, la qualification PASSI de l'ANSSI encadre ces prestataires.
- La red team ne demande plus « avons-nous des failles » - il y en a toujours - mais « savons-nous voir et arrêter un attaquant pendant qu'il agit ». Elle éprouve la détection et la réponse humaine autant que la technique.
- La séquence compte : audit d'abord pour cadrer, pentests ensuite pour corriger, red team seulement quand la maison tient debout. Commencer par la red team, c'est payer très cher pour apprendre ce qu'un audit montrait en une semaine.
- L'erreur la plus coûteuse est de ranger le rapport dans un tiroir : un test ne vaut que suivi de corrections, puis d'un re-test - la maison ne reste jamais figée.
L'audit : le contrôleur avec sa liste
L'audit vérifie que votre organisation respecte un ensemble de règles : configuration, architecture, politiques, gestion des accès. C'est le contrôleur technique qui compare, ligne à ligne, l'état réel de la maison à un référentiel (ISO 27001, ReCyF, guides ANSSI). Il ne cherche pas à entrer par effraction ; il constate. Sa force, c'est la vue d'ensemble : il regarde tout, y compris ce qu'un attaquant mettrait des mois à découvrir, parce qu'on lui a ouvert toutes les portes pour qu'il inspecte. Sa limite, c'est qu'une case cochée « conforme » ne dit pas toujours si, dans la vraie vie, la faille est atteignable. C'est l'exercice de base, celui par lequel on sait où l'on en est avant toute chose.
Le test d'intrusion : le cambrioleur mandaté
Le pentest, lui, prend le point de vue de l'attaquant sur un périmètre défini : une application, une infrastructure, un environnement cloud. On ne lui demande pas « est-ce conforme ? » mais « jusqu'où peux-tu aller ? ». Là où l'audit dit « cette fenêtre n'a pas le bon verrou », le pentest dit « j'ai forcé cette fenêtre, je suis monté à l'étage, et voilà les bijoux que j'ai pu sortir ». La différence est capitale : il ne liste pas des écarts théoriques, il démontre un chemin d'attaque réel et le restitue dans un rapport priorisé par criticité. En France, la qualification PASSI de l'ANSSI encadre les prestataires d'audit et de tests d'intrusion : un repère utile quand on choisit à qui confier les clés.
Attention à un piège de vocabulaire : un pentest n'est pas « meilleur » qu'un audit, il répond à une autre question. Le contrôleur voit les cent défauts de la maison ; le cambrioleur en exploite trois et prouve qu'ils suffisent. On a besoin des deux regards.
La red team : l'intrusion en conditions réelles
La red team change encore de registre. Elle simule une attaque ciblée et réaliste, souvent sans périmètre annoncé et à l'insu des équipes de défense. La question n'est plus « avons-nous des failles ? » - on sait qu'il y en a toujours - mais « sommes-nous capables de voir et d'arrêter un attaquant déterminé pendant qu'il agit ? ». C'est le cambrioleur qui vient de nuit pour tester, non pas la serrure, mais le chien, l'alarme et le temps de réaction du voisin. Elle éprouve autant la technique que la détection et la réponse humaine : est-ce que quelqu'un remarque l'intrusion ? au bout de combien de temps ? qui prévient qui ? C'est un exercice avancé, qui n'a de sens qu'une fois les fondations déjà solides.
La bonne séquence
On ne commence jamais par la red team. Envoyer une équipe éprouver votre détection alors que vos fenêtres ne ferment pas, c'est payer très cher pour apprendre ce qu'un audit à cinq fois moins montrait en une semaine. L'ordre naturel : d'abord l'audit pour cadrer et voir large, puis les pentests pour corriger les failles concrètes une à une, et seulement quand la maison tient debout, la red team pour vérifier que vous savez repérer un intrus. Chaque étape prépare la suivante.
Aucun de ces exercices n'est un « one-shot »
Voici l'erreur la plus fréquente et la plus coûteuse : ranger le rapport dans un tiroir. Un test n'a de valeur que suivi de corrections, puis d'un re-test pour vérifier que la faille est vraiment refermée - et qu'on n'en a pas ouvert une autre en la corrigeant. Car la maison ne reste jamais figée : une application évolue, on ajoute un service, on branche un nouveau fournisseur, une bibliothèque vieillit et devient vulnérable du jour au lendemain. La sécurité offensive est un cycle qui tourne, pas une photo qu'on encadre. C'est exactement ce qui la relie à la maîtrise de la surface d'attaque : on ne teste pas une fois, on surveille en continu ce qui change.
Choisir le bon exercice
Kenawek vous aide à définir l'approche adaptée à votre maturité et à vos enjeux, du pentest ciblé à l'exercice red team. Parlons-en.