Audits techniques de sécurité

Comment vous accompagner pour identifier et évaluer les risques cyber de votre SI ?

Votre système d’information (SI) est menacé quotidiennement par des risques d’intrusion et de potentielles vulnérabilités. Les défis auxquels vous faites face sont d'ordre :

• Techniques.

• Humains (manque de ressources, compétences).

• Organisationnels.

• Réglementaires et normatifs.

Nos audits de sécurité indépendants ont pour but de simuler des attaques informatiques, voire de les tenter afin de déceler des potentielles vulnérabilités pour correction avant qu’elles ne soient exploitées par des cyber attaquants. Nous recommandons ensuite des solutions adéquates pour renforcer la sécurité de nos clients. 

Nos activités d'audit portent principalement sur : 

• Des tests d'intrusion.
• Des revues des configurations.
• Du DevSecOps.
• Du Red Teaming.

Nos experts interviennent dans le but de vous fournir une évaluation complète de votre sécurité informatique et peuvent adapter leurs investigations à vos contraintes métiers. 

Nous pouvons investiguer sur un large spectre de systèmes d’informations (LAN, WAN, Systèmes d’Industriels, SOC, etc.) et de technologies variées (IT, OT, IOT, Mobile, Cloud). 

Pour l’ensemble des prestations nous vous proposons : 

• Un rapport final exhaustif, identifiant les vulnérabilités constatées, leur criticité, leur exploitabilité et des indications claires quant aux efforts à mettre en œuvre pour assurer votre protection.
• Des recommandations facilement actionnables par vos équipes, du management aux équipes opérationnelles, et un soutien dans la mise en œuvre des remédiations.

Notre expertise couvre tout le territoire français et les principales zones géographiques internationales pour assurer une présence au plus près de vos équipes locales et en ayant la connaissance du contexte de sécurité spécifique au pays concerné.

Tests d'intrusion

Les tests d’intrusion servent à identifier et évaluer les faiblesses de durcissement de composants, systèmes d’exploitations et applications qui permettent à l'attaquant de réussir à prendre le contrôle de vos systèmes d’informations et de vos données.

Nos auditeurs déroulent les 4 étapes suivantes vis-à-vis de la cible d’audit : 

• Reconnaissance.
• Cartographie.
• Exploitation.
• Post-exploitation.

Nous développons nos propres outils de tests pour chacune de ces activités notamment à base d’open source et de scripts conçus pour exploiter une technologie particulière.

Revue des configurations

Les revues de configurations de composants, systèmes d’exploitations et applications permettent d’aller plus en profondeur dans une investigation et vous apportent une vue complète du niveau de durcissement des cibles concernées. Ces revues peuvent être réalisées selon des référentiels (CIS, ANSSI, etc.), standards (NIST, etc.) ou vos propres règles de sécurité. 

Les points de contrôles concernent notamment :

• La sécurisation des accès utilisateurs (politiques de mots de passe, droits d’accès aux données, profils de comptes, etc.).
• La sécurité des systèmes d’exploitation, applications et services installés et leur niveau de mises à jour.
• La robustesse des moyens d’administration et le niveau de supervision mis en place.

DevSecOps

Les activités d’accompagnement à la mise en place du DevSecOps ont pour objectifs d’améliorer le niveau de sécurité des applications et réduire les risques identifiés tout en optimisant les coûts de traitement de la sécurité et en assurant les délais de mise en production.

Pour réussir, cette démarche de transformation progressive et mesurable propose d’intégrer la sécurité dans les 3 piliers du DevOps - l’humain, les processus et les technologies - tout au long du cycle de vie d’une application, des phases initiales (security by design) au maintien en condition de sécurité (MCS) une fois l’application déployée.

Red Teaming

Les activités de Red Team vont au-delà de celles des tests intrusion. Elles permettent d’évaluer les capacités de défense des entreprises, mais aussi la sensibilisation des employés sur les risques cyber. Les intrusions développées par nos équipes peuvent être de type physiques ou logicielles

• Dans des bâtiments, bureaux, salles techniques
• Dans des composants physiques
• Dans des systèmes d’exploitations et applications.
• Sur des moyens logiciels utilisateurs (attaques de type phishing)

Nos méthodes de préparation d’attaques reposent entre autres sur des activités d’ingénierie sociale et d’OSINT. Leur succès repose sur la combinaison de différents vecteurs d’attaques développés spécifiquement dans votre contexte d’entreprise. Ces missions permettent d’évaluer 

• La capacité de vos équipes de SOC à détecter nos intrusions.
• La robustesse de vos mécanismes de protection physiques.
• L’efficacité de vos sensibilisations de collaborateurs.

Qualifications et certifications

Nos experts sont titulaires de certifications accordées par des organismes reconnus et de qualifications attribuées par l’Agence Nationale de Sécurité des Systèmes d’Information  (ANSSI) :

•    Prestataire d'Audit de la Sécurité des Systèmes d'Information (PASSI) depuis mars 2015
•    Prestataire de Réponse sur Incident de Sécurité (PRIS) depuis novembre 2021

Consultez aussi :

Le Centre d’Évaluation de la Sécurité des Technologies de l’Information (CESTI)  et de fiabilité des composants identifie les failles de sécurité les plus indicibles de vos systèmes électroniques.