« On voudrait un pentest. » Derrière cette demande fréquente se cachent en réalité plusieurs exercices très différents. Test d'intrusion, audit de sécurité, red team : les confondre, c'est risquer de payer pour un exercice qui ne répond pas au besoin. Voici comment les distinguer et les articuler.
L'audit de sécurité : mesurer la conformité à un référentiel
L'audit vérifie que votre organisation respecte un ensemble de règles ou de bonnes pratiques : configuration, architecture, politiques, gestion des accès. Il donne une photographie large et structurée de l'écart entre l'état réel et un référentiel (ISO 27001, ReCyF, guides ANSSI). C'est l'exercice de base pour savoir où l'on en est.
Le test d'intrusion (pentest) : chercher les failles exploitables
Le pentest adopte le point de vue de l'attaquant sur un périmètre défini (une application, une infrastructure, un environnement cloud). L'objectif : trouver et démontrer des vulnérabilités réellement exploitables, puis les restituer dans un rapport priorisé par criticité. Contrairement à l'audit, il ne dit pas seulement « ceci n'est pas conforme », mais « voici comment un attaquant entrerait ». En France, la qualification PASSI de l'ANSSI encadre les prestataires d'audit et de tests d'intrusion.
La red team : éprouver la détection, pas seulement les failles
La red team simule une attaque ciblée et réaliste, souvent sans périmètre annoncé et à l'insu des équipes de défense. La question n'est plus « avons-nous des failles ? » mais « sommes-nous capables de voir et d'arrêter un attaquant déterminé ? ». Elle teste autant la technique que la détection et la réaction humaine. C'est un exercice avancé, pertinent quand une base de sécurité est déjà en place.
On ne commence pas par une red team. D'abord un audit pour cadrer, puis des pentests pour corriger les failles concrètes, et seulement quand la maturité est là, une red team pour éprouver la détection. Faire l'inverse, c'est dépenser beaucoup pour apprendre ce qu'un audit aurait montré plus vite.
Un point commun : ce n'est jamais un one-shot
Un test n'a de valeur que suivi de corrections, puis d'un re-test pour valider. Une application évolue, l'infrastructure change, de nouvelles failles apparaissent : la sécurité offensive s'inscrit dans un cycle, pas dans un rapport classé sans suite. C'est aussi ce qui la relie à la maîtrise de la surface d'attaque.
Kenawek vous aide à définir l'approche adaptée à votre maturité et à vos enjeux, du pentest ciblé à l'exercice red team. Parlons-en.