Audit cybersécurité et tests d'intrusion

Vérifier que l'organisation, les procédures et les locaux protègent réellement l'information

Nous examinons la gouvernance de la sécurité (rôles, comité, politique de sécurité), la gestion des arrivées, des départs et des droits d'accès, l'encadrement des prestataires, la sensibilisation et le traitement des incidents. Sur site, nous vérifions le contrôle d'accès aux bâtiments et aux salles techniques, l'accueil des visiteurs et des intervenants, les postes et documents laissés sans surveillance, et la protection des équipements. L'audit s'appuie sur des entretiens avec la direction et les équipes, la revue de vos documents et une visite des sites.

Vérifier que la conception du système d'information limite la portée d'une attaque

À partir des schémas, des inventaires et d'entretiens avec vos équipes et vos prestataires, nous analysons le cloisonnement des réseaux, les flux entre zones, l'exposition sur internet, les accès à distance et l'administration des systèmes, la redondance des équipements critiques et l'isolement des sauvegardes. Nous repérons les points uniques de défaillance et les chemins qu'emprunterait un attaquant d'une zone à l'autre, puis proposons une architecture cible.

Vérifier, système par système, que les paramètres appliquent les bonnes pratiques de durcissement

Nous comparons la configuration de vos serveurs, postes de travail, équipements réseau et de sécurité (pare-feu, accès à distance), de votre annuaire d'entreprise (Active Directory) et de vos services en ligne (messagerie, outils collaboratifs) aux guides de durcissement reconnus, dont ceux de l'ANSSI. Nous contrôlons notamment les comptes à privilèges, les mots de passe, les correctifs, les services inutiles, le chiffrement et la journalisation. L'audit combine des relevés outillés et une revue manuelle des points critiques.

Mesurer ce qu'un attaquant peut réellement exploiter, de l'extérieur puis de l'intérieur

En externe, nous partons d'internet, comme un attaquant inconnu : sites et applications exposés, messagerie, accès à distance, services ouverts. En interne, nous partons de votre réseau, comme un poste compromis, un prestataire ou un visiteur branché sur une prise : déplacement d'un système à l'autre, élévation de privilèges, prise de contrôle de l'annuaire d'entreprise, accès aux données sensibles. Chaque vulnérabilité exploitée est démontrée, preuve à l'appui, et les tests suivent les règles d'engagement convenues au cadrage.

Trouver les failles à la source, avant qu'elles n'atteignent la production

Nous revoyons le code de vos applications, à la main sur les fonctions sensibles et à l'aide d'outils d'analyse sur l'ensemble : authentification et gestion des sessions, contrôles d'accès, validation des entrées et injections, gestion des erreurs, secrets laissés dans le code, bibliothèques et dépendances vulnérables. Chaque faille est située dans le code, expliquée et accompagnée d'une correction, pour vos développeurs ou votre prestataire.