« Le bug bounty signe la fin des pentests » « Le bug bounty, la mort du test d’intrusion traditionnel »… Vous vous souvenez de ces titres d’articles ? Nous voyons aujourd’hui que ce n’est pas le cas et que les deux approches continuent d’exister.

Ces deux offres répondent au même besoin initial : mettre à l’épreuve les applications web et l’infrastructure d’une entreprise par des attaques réalistes. Quelles sont les différences de chacune des démarches ? Comment choisir entre un bug bounty et un test d’intrusion ?

Nous vous présentons neuf critères principaux à prendre en compte dans votre réflexion.

Réaliser régulièrement des tests d’intrusion de sites e-commerce permet d’assurer un bon niveau de sécurité. Ceci est nécessaire pour assurer le bon fonctionnement du site ainsi que l’image de marque de l’entreprise auprès de ses clients. Mais les enjeux de sécurité sont tellement multiples qu’il est parfois nécessaire d’établir des priorités.

L’infrastructure réseau est au cœur du fonctionnement des entreprises, et ce dans la plupart des secteurs d’activité. On peut la considérer comme le centre névralgique de toute l’organisation informatique, car c’est elle qui permet de centraliser les données, simplifier leur échange et faciliter la communication entre les collaborateurs.

C’est donc un outil indispensable au bon fonctionnement des entreprises, qui nécessite une attention de tous les instants sur le plan de la sécurité. Cela afin de se prémunir contre des attaques externes et internes de plus en plus nombreuses et sophistiquées.

La plupart des applications web manipulent des données personnelles et/ou des données business ; autant dire des données sensibles. Mots de passe, adresses email, numéros de cartes bancaires, données santé et autres, sont au centre de la bataille qui oppose deux camps. D’un côté les entreprises, de petite, moyenne ou grande taille, qui cherchent à se défendre contre des intrusions dans leurs systèmes d’information. Et de l’autre, des assaillants de plus en plus expérimentés, attirés par l’appât du gain et stimulés par les nombreuses brèches trop souvent ignorées par leurs futures victimes.

Vous connaissez cette semi-blague, « le cloud, c’est les ordinateurs de quelqu’un d’autre » ? Le cloud computing est souvent vu comme LA solution, si bien qu’on omet qu’il s’agit uniquement d’un outil, avec ses avantages et ses inconvénients.

Lors d’un audit de sécurité, trois approches sont possibles. Elles correspondent à différents niveaux d’information et d’accès fournis aux pentesters.
Le choix de l’approche d’un test d’intrusion dépend de vos objectifs : quel niveau de profondeur voulez-vous ? Et souhaitez-vous tester la menace externe ou la menace interne ?