CYBER SECURITE GENEVE
OBJECTIFS
Avec les audits détaillés ci-dessous, qu’ils soient techniques (architecture, pentest) ou plus fonctionnels (organisationnel & physique) la méthodologie de Hacking Company reste la même. Faire appel à nos services c’est vous appuyer sur notre expertise globale en sécurité et la diversité de nos compétences pour vous accompagner de bout en bout, y compris dans les phases ultérieures si nécessaire (plan d’amélioration continue, correction des anomalies, remédiation, etc.)
LES LIVRABLES
Le livrable contient la synthèse des failles et vulnérabilités identifiées, du point de vue technique et fonctionnel, ainsi qu’une évaluation des méthodes de développement et de leur conformité aux bonnes pratiques.
Pour chaque vulnérabilité identifiée, un descriptif ainsi qu’un ou plusieurs correctifs sont proposés, afin de pallier de manière efficace aux problèmes observés, ainsi que les bonnes pratiques.
La conclusion fait la synthèse des observations, et livre un avis sur la sécurité de l’application telle qu’aperçue via l’analyse de son code et de ses fonctionnalités.
AUDIT DE CODES
L’audit de code a pour objectif premier de vérifier la sécurité du code d’une application, analyser en profondeur des vulnérabilités présentes au sein du code source et de vos applications. L’audit de code peut s’accompagner généralement d’un test d’intrusion nous parlerons alors d’audit de code intrusif.
- L’aspect technique : il s’agit de valider le respect des bonnes pratiques de développement associées à la production de code et spécifiques au(x) langage(s) employé(s), avec une attention toute particulière portée aux éléments de sécurité intégrés à l’application
- L’aspect fonctionnel : il s’agit de valider la bonne implémentation des fonctionnalités et le respect des bonnes pratiques associées, indépendantes du ou des langages employés.
AUDIT ET CONFIGURATION DE L’ARCHITECTURE
Un audit de configuration et d’architecture a pour objectif de vérifier le paramétrage d’un équipement ou d’une solution technique par rapport aux risques de sécurité permettant de déterminer si l’implémentation technique auditée est conforme aux bonnes pratiques de sécurité et ne présente pas de risque pour le reste du système d’information.
Les aspects tels que la pertinence des choix technologiques, l’organisation des flux de données, le dimensionnement et la robustesse, sont notamment évalués en vérifiant les paramètres de sécurité d’un équipement ou d’une solution technique. L’objectif étant d’identifier les risques liés à un défaut de sécurisation pour le reste du système d’information d’un point de vue offensif et défensif. Périmètres d’intervention:
- Base de données.
- Serveurs.
- Routeur.
- Switch.
TEST D’EXPOSITION
Un test d’exposition consiste à énumérer tous les actifs présents sur le réseau public d’une organisation. Celui-ci permet d’avoir une vue globale de l’empreinte numérique visible par un attaquant.
La volatilité des infrastructures informatiques et des informations numériques fait qu’il est parfois difficile d’évaluer pleinement la surface d’exposition et d’attaque d’une organisation. Notre expérience des tests d’intrusion et du domaine de la sécurité offensive nous permet de faciliter ce travail de recherche et d’analyse. Au-delà de l’énumération pure, nous proposons dans nos tests d’exposition une évaluation du risque par actif en fonction des critères de la sécurité (Confidentialité, Intégrité, Disponibilité).
TEST DDOS
Cette prestation simule une attaque basée principalement sur l’inondation du réseau afin de saturer les ressources associées aux services externes. Durant ce type d’audit, divers indicateurs pourront être évalués : disponibilité des services, réactivité des équipes techniques ou encore résistance des équipements frontaux.
Les tests techniques réalisés simulent également un flux de visiteurs important lors d’un pic d’activité, le dimensionnement de l’infrastructure pourra ainsi également être évalué.
ANALYSE FORENSICS
L’analyse Forensics, aussi dite post-mortem, définit l’ensemble des méthodes de rétrospection faisant suite à un incident de sécurité.
Un incident de sécurité peut prendre des formes très diverses : connexion réseau non conforme, fuite de données, altération d’un système, alerte en provenance d’une solution de sécurité, conflits humains, etc. Il peut également être non avéré, auquel cas les conclusions de l’analyse établiront qu’il s’agit d’un faux-positif.
Hacking Company vous accompagne dans la méthodologie à adapter pour protéger vos fichiers sensibles.