Audit Sécurité : méthodes et outils techniques

Un audit sécurité est une évaluation structurée d'un système d'information visant à identifier les vulnérabilités, les écarts de configuration et les non-conformités. L'audit sécurité couvre plusieurs axes : l'audit de configuration, l'audit de code source, l'audit d'architecture réseau et l'audit organisationnel. La méthodologie repose sur un périmètre contractuellement défini, un référentiel (ISO 27001, CIS Benchmarks, ANSSI) et une phase de collecte de preuves. En France, les prestataires réalisant des audits pour des OIV et OSE doivent être qualifiés PASSI par l'ANSSI. L'audit diffère du pentest par son objectif : là où le test d'intrusion cherche à exploiter des failles pour démontrer un impact réel, l'audit évalue exhaustivement la surface d'attaque et la posture de sécurité. Les résultats sont restitués sous forme de rapports structurés, avec une cotation de criticité (CVSS, DREAD) et un plan de remédiation priorisé. L'audit sécurité est un prérequis pour toute démarche de certification ou de conformité réglementaire (DORA, NIS2, PCI-DSS). Il constitue le point de départ de tout programme de gestion des risques cyber.

Côté Blue Team, l'audit sécurité génère des traces exploitables pour affiner la supervision. Les scans de vulnérabilités actifs (Nessus, OpenVAS, Qualys) produisent des connexions TCP massives vers de nombreux ports en peu de temps. Un SIEM correctement paramétré détecte ces patterns via des règles de corrélation sur le volume de connexions par source IP et par fenêtre temporelle. Sous Windows, les événements 4624 (ouverture de session), 4625 (échec d'authentification) et 4648 (authentification explicite) doivent être surveillés pendant la période d'audit. Les tentatives d'énumération LDAP génèrent des événements 4662 sur les contrôleurs de domaine. Côté réseau, les sondes IDS (Suricata, Snort) disposent de signatures spécifiques aux outils d'audit courants (Nmap, Nikto, sqlmap). Il est recommandé de créer une liste blanche temporaire pour les IP des auditeurs, afin de distinguer le trafic d'audit légitime d'une activité malveillante réelle. Les journaux WAF révèlent les tentatives d'injection testées lors d'un audit applicatif. La conservation de ces logs post-audit permet de constituer une baseline de référence pour détecter des comportements similaires non autorisés ultérieurement.

Côté Red Team et pentest, l'audit sécurité structure la phase de reconnaissance et d'identification des cibles. L'énumération initiale s'appuie sur Nmap (scan SYN, détection de version, scripts NSE), complétée par des outils spécialisés selon la cible : Nikto et Nuclei pour les applications web, enum4linux-ng pour les environnements Active Directory, testssl.sh pour l'analyse des configurations TLS. Les auditeurs PASSI suivent une méthodologie en phases : reconnaissance, cartographie, identification des vulnérabilités, exploitation contrôlée et post-exploitation limitée au périmètre autorisé. Les benchmarks CIS fournissent des points de contrôle précis pour l'audit de durcissement (registre Windows, politiques GPO, droits de service). Côté contre-mesures, le durcissement s'appuie sur la désactivation des protocoles obsolètes (SMBv1, TLS 1.0/1.1), la restriction des comptes de service, et l'application des correctifs selon un cycle défini. Les résultats d'audit doivent alimenter directement le backlog de remédiation, avec des tickets priorisés par score CVSS et par exploitabilité réelle. Un audit de suivi (re-test) à 30 ou 60 jours permet de vérifier l'efficacité des correctifs appliqués et de clôturer formellement les vulnérabilités identifiées.