Outils de test d'intrusion et logiciels de test d'intrusion (en anglais)

Outils de test d'intrusion et logiciels de pentest (outils de test d'intrusion et logiciels de pentest)

Les outils de test d'intrusion, y compris les scanners de vulnérabilité, jouent un rôle important dans nos services de pentesting, mais nous ne devrions pas et ne nous appuyons pas sur eux pour tout.
En fait, la plupart de nos travaux sont des tests manuels, soutenus par des outils tels que Tenable Nessus Pro, Burp Suite, Sonarqube, AppScan et d'autres. Nous utilisons et développons nos propres scripts pour de nombreux objectifs et nous maintenons une large boîte à outils dans notre référentiel. La validation des résultats de ces outils de pentest est effectuée manuellement par notre équipe.

C'est pourquoi nous utilisons également des outils tels qu'IDApro pour l'analyse binaire, des scanners de nuages pour vérifier les configurations de nuages et des scripts de base CIS pour vérifier la conformité avec les lignes de base CIS.

En ce qui concerne le matériel et les technologies sans fil, notre laboratoire est équipé de radios logicielles (SDR), de stations de (dé)soudage, d'analyseurs logiques et d'une multitude d'interfaces pour tester le matériel, telles que les Bus Pirates, les Facedancers, les JTAGulators et bien d'autres.

Nous aimons maintenir notre laboratoire et nos outils à jour, et nous sommes toujours à la recherche de nouveaux moyens passionnants pour améliorer les tests et les rendre plus efficaces.

Quelle est la meilleure fréquence de test ? De nombreuses organisations se contentent d'évaluations annuelles, ou lorsque des changements majeurs sont apportés aux applications ou aux infrastructures. Est-ce suffisant ?

Il est de plus en plus courant d'effectuer très fréquemment de petites mises à jour incrémentielles des applications (lorsque l'on utilise les modèles de développement logiciel Agile, DevOps et CD/CI). Il est donc nécessaire d'adapter également la fréquence des tests, et c'est la raison pour laquelle Bureau Veritas Cybersecurity propose également des tests périodiques (également connus sous le nom de Continuous Scanning) où les applications sont d'abord testées manuellement, puis automatiquement tous les mois, toutes les semaines ou toutes les deux semaines.

Compte tenu de la fréquence, les rapports de test pour le test automatisé seront des rapports delta, ne fournissant que les différences avec les rapports précédents.