Audits techniques et tests d'intrusion

Découvrez nos offres tests d'intrusion

Le principe du test d’intrusion est de découvrir des vulnérabilités sur le système d’information audité et de vérifier leur exploitabilité et leur impact, dans les conditions réelles d’une attaque sur le système d’information, à la place d’un attaquant potentiel. Cette activité d’audit peut être réalisée soit depuis l’extérieur du système d’information audité (notamment depuis Internet ou le réseau interconnecté d’un tiers), soit depuis l’intérieur.

Un test d’intrusion seul n’a pas vocation à être exhaustif. Il s’agit d’une activité qui doit être effectuée en complément d’autres activités d’audit afin d’en améliorer l’efficacité ou de démontrer la faisabilité de l’exploitation des failles et vulnérabilités découvertes à des fins de sensibilisation.

À distance

Audits externes

L’Audit Externe permet de tester les vulnérabilités principales (déni de service, exploitation de failles…) en scannant tous les services accessibles par Internet, tels que les accès web ou les ports exposés.

L’Audit Externe comprend :

La collecte d'informations partagées sur une cible telle que : IP, domaines, sous domaines, emails/mots de passe...
La détection du type OS utilisés (Windows server 2019, Ubuntu Server 20.04…)
La détection des ports et services ouverts partagés au public (service WEB, MAIL, DNS)
La réalisation des attaques brute force sur ces services
La possibilité de lancer des attaques par déni de service (DoS) sur ces services
La détection des technologies utilisées par l'application Web (Wordpress, Joomla ...)
La vérification des certificats utilisés
L’énumération des services partagés
La détection et l'évaluation des vulnérabilités existantes
La recherche de vulnérabilités de type CVE’s, failles de sécurité informatique divulguées publiquement
La détection des misconfigurations (erreurs de configuration de sécurité ou de non-configuration)
La recherche d’éléments permettant à un individu ou à un logiciel malveillant d’exploiter une vulnérabilité existante

Sur site

Audits internes

L’Audit Interne permet d’identifier toutes les failles d’une infrastructure réseau d’une entreprise. Nous allons scanner l’ensemble des services partagés dans le réseau (FTP, SSH…) et déterminer leur résilience aux principaux types d’attaques. Cet audit couvre également les technologies basées sur l’internet des objets (IoT), les objets connectés. Nous testons globalement l’exposition des interfaces internes au réseau à des scénarios compromettants et leur ouverture vers l’extérieur du réseau dans des scénarios impactant la disponibilité, l’intégrité et la confidentialité des données.

L’Audit Interne comprend :

La détection de l’ensemble des périphériques connectés au sein de l’entreprise (PC, mobile, IoT)
L’évaluation des niveaux de vulnérabilités pour un périphérique ou un groupe de périphériques
La vérification de la protection du réseau (site de paris en ligne, porno…)
La détection du type OS utilisé pour chaque périphérique.
La détection des ports et services ouverts (service WEB, MAIL, SSH, FTP, SMB, DNS) pour chaque périphérique
La réalisation des attaques brute force sur ces services
La possibilité de lancer des attaques DoS sur ces services
L’énumération des services partagés pour chaque périphérique
La détection et l'évaluation des vulnérabilités existantes pour chaque périphérique
La recherche des CVE’s pour chaque périphérique.
La détection des misconfigurations pour chaque périphérique
La recherche des exploits pour les vulnérabilités existantes pour chaque périphérique

Sur site

Tests d’intrusions WIFI

L’Audit Wifi permet de scanner les réseaux Wifi accessibles depuis l’entreprise du Client et de vérifier leur configuration de sécurité. Il sera alors possible d’identifier les Wifi représentant une menace.

L’Audit Wifi comprend :

L’évaluation du niveau de sécurité des mots de passe des Wi-Fi (WEP, WPA/WPA2)
L’évaluation de la robustesse des Wi-Fi contre les attaques DoS visant à rendre votre Wi-Fi indisponible
La possibilité de lancer un Faux Wi-Fi similaire au Wi-Fi réel afin de récupérer les clés à l’aide des attaques de type faux AP tels que : Evil Twin

Sur site

Tests d’intrusions Média

L’Audit Média permet d’analyser un périphérique (clé USB, disque dur externe…) afin de vérifier l’intégrité des données et l’absence de virus.

L’Audit Média comprend :

La détection de l’ensembles des malwares qui existent dans les périphériques (USB, Disque dur…)
La protection des périphériques par la suppression de l’ensemble des malwares existants
La détection des fichiers chiffrés et la tentative pour les déchiffrer
La visualisation des fichiers après le déchiffrement

À distance

Tests d’intrusions Emprunte numérique

L’Audit d'Empreinte Numérique évalue la surface d’exposition d’une entreprise aux menaces. FF Global analyse l’empreinte numérique et met en évidence les menaces potentielles du Client et les données qui pourraient le mettre en danger, en mettant l’accent sur les menaces de sécurité et de cyber attaque.

FF Global identifie les informations sensibles échangées ou accessibles dans l’internet caché en se focalisant notamment sur la recherche de traces de malversation, notamment :

Serveurs réellement exposés sur Internet (fierce, recon-ng, shodan, etc.)
Personnes publiquement reliées à l’entreprise
Tentatives de squatting de domaine
Vulnérabilités publiquement révélées sur l’entreprise
Présences de compte dans les fuites de données publiques (leak de mots de passe, etc.)
Calomnies/plaintes/avis négatifs publics sur l’entreprise
Informations sensibles sur les réseaux sociaux (hashtag, etc.)
Documents sensibles indexés sur les moteurs de recherche
Informations sensibles dans les offres d’emploi publiées
Informations sensibles dans des rapports de stage
Informations sensibles dans les time machine du Net
Informations sensibles sur le Dark Net
Bases et coordonnées clients
Savoirs-faire industriels

Tests d’intrusions Fuite de données

L'Audit de Fuites de Données consiste à surveiller de façon centralisée l'activité des données manipulées par les membres de l’organisation du Client en lien avec l'interne ou l'externe.

Cette approche permet de se conformer aux réglementations en vigueur et d'éviter les risques de fuites de données confidentielles provoquées par des acteurs internes malveillants ou des attaquants externes qui parviennent à accéder de façon non autorisée à des données confidentielles ou à des informations sensibles comme des dossiers médicaux, des informations financières ou des informations à caractère personnel.

Sur site

Active Directory

Contrôler la sécurité de l’annuaire et des droits d’accès. Identifier les erreurs de configuration, les privilèges excessifs et les objets obsolètes.

L’analyse porte sur :

Comptes, groupes et administrateurs
GPO, ACL et délégations
Relations de confiance
Comptes dormants et mots de passe faibles
Protocoles hérités, partages et anomalies

RésultatRisques Active Directory classés, comptes ou groupes sensibles, mauvaises pratiques.

BénéficeRéduire les risques liés aux comptes à privilèges et aux mauvaises configurations.

À distance

Audit RGPD d’un site web

Mesurer la conformité d’un site web à la protection des données personnelles. Évaluer les éléments techniques qui impactent la conformité : collecte, consentement, sécurité web et exposition des données.

L’analyse porte sur :

Cookies et traceurs, bandeau de consentement
HTTPS/TLS, redirections, en-têtes de sécurité
robots.txt, sitemap, hébergement
Formulaires, politique de confidentialité
Exposition des données

RésultatScore RGPD, cyberscore, écarts techniques ou juridiques, preuves observables et recommandations de mise en conformité.

BénéficeIdentifier rapidement les écarts de conformité à traiter en priorité.

À distance

Campagne de phishing

Tester la vigilance des collaborateurs face aux tentatives d’hameçonnage. Évaluer la réaction des utilisateurs face à un scénario réaliste, sans impacter le SI ni collecter inutilement de données sensibles.

L’analyse porte sur :

Scénario de simulation
Suivi des ouvertures, clics et soumissions
Alertes et chronologie

RésultatRecommandations de formation ciblée.

BénéficeSensibiliser les équipes avec des résultats concrets et mesurables.

À distance

Bruteforce, casseur de mots de passe

Tester la résistance des services exposés aux tentatives de connexion répétées. Vérifier la robustesse des mots de passe, les politiques de verrouillage, le MFA, les limitations de débit et les alertes de sécurité.

L’analyse porte sur :

SSH, FTP, SFTP, RDP, Telnet, formulaires web, ports exposés
Dictionnaires contrôlés, vitesse de requêtes
Lockout, rate limiting
Logs, alerting et réponses SIEM/EDR

RésultatRésistance par service, seuils de blocage, comptes ou services à risque et recommandations de durcissement.

BénéficeVérifier que les accès résistent aux tentatives répétées de connexion.

Sur site

Protection Internet

Vérifier l’efficacité des pare-feu et des protections face aux contenus et menaces web. Confirmer que les règles de filtrage, les protections réseau et les contrôles de navigation bloquent les contenus et comportements à risque.

L’analyse porte sur :

Tests de catégories web, VPN/proxy
Fichiers EICAR, URL malveillantes de test, téléchargement
Filtrage DNS/URL, inspection TLS
IPS/IDS, antimalware
Scénarios de contournement

RésultatMatrice autorisé/bloqué, efficacité des protections, contournements identifiés.

Sur site

Audit Office 365

Contrôler la sécurité du tenant Microsoft 365, des comptes et des accès aux données cloud. Évaluer la sécurité du tenant, des comptes administrateurs, des accès externes et des services Exchange, SharePoint, OneDrive et Teams.

L’analyse porte sur :

MFA, Conditional Access, legacy auth
Rôles admin/RBAC, comptes à privilèges
Secure mailbox, consentements OAuth
Partage externe, DLP
Defender et alertes

RésultatÉcarts de configuration, comptes ou permissions à risque, exposition des données, recommandations Microsoft 365 et plan de durcissement priorisé.

BénéficeRéduire le risque de compromission des comptes et de fuite de données dans Microsoft 365.

Découvrez nos offres tests d'intrusion

Audits externes

Audits internes

Tests d’intrusions WIFI

Tests d’intrusions Média

Tests d’intrusions Emprunte numérique

Tests d’intrusions Fuite de données

Active Directory

Audit RGPD d’un site web

Campagne de phishing

Bruteforce, casseur de mots de passe

Protection Internet

Audit Office 365

Contactez nous pour tester vos systèmes