Pentest : méthodologie et techniques offensives

Le pentest, ou test d'intrusion, est une évaluation de sécurité offensive structurée visant à identifier et exploiter les vulnérabilités d'un système avant qu'un attaquant réel ne le fasse. Les méthodologies et techniques offensives employées s'appuient sur des référentiels reconnus comme PTES (Penetration Testing Execution Standard) ou OWASP, qui découpent l'opération en phases distinctes : reconnaissance, énumération, exploitation, post-exploitation et reporting. Le pentest se distingue du scan de vulnérabilités par la validation manuelle des failles et la simulation d'un scénario d'attaque complet. Il peut cibler un périmètre réseau, une application web, une infrastructure Active Directory ou une couche physique et sociale. Son périmètre est défini contractuellement dans un document de cadrage appelé Rules of Engagement. La valeur d'un pentest repose sur la contextualisation des vulnérabilités découvertes : l'enchaînement de failles de faible criticité peut aboutir à une compromission totale, ce qu'un simple scanner automatique ne peut pas démontrer.

Du côté Blue Team et SOC, détecter un pentest en cours repose sur l'identification de comportements anormaux caractéristiques des phases offensives. En phase de reconnaissance, des scans Nmap génèrent des connexions TCP SYN en rafale vers de multiples ports, visibles dans les logs de pare-feu et les alertes IDS/IPS (règles Snort ET-SCAN). En phase d'exploitation, les tentatives d'authentification échouées répétées produisent des événements Windows 4625 (logon failure) et 4648 (explicit credentials). L'utilisation de Metasploit ou de payloads Meterpreter génère des connexions sortantes sur des ports non standards, détectables via Zeek ou Suricata. En post-exploitation, les opérations de mouvement latéral activent les événements 4672 (special privileges assigned), 4688 (process creation avec arguments suspects) et 7045 (service installé). Un SIEM correctement paramétré corrèle ces événements pour reconstruire la kill chain. Les outils EDR modernes détectent la création de processus inhabituels comme PsExec, WMIExec ou les injections de DLL via des règles comportementales.

Côté Red Team et pentest offensif, l'enchaînement des phases suit une logique de progression des privilèges. La reconnaissance passive utilise des outils comme theHarvester, Shodan ou Maltego pour cartographier la surface d'attaque sans toucher les cibles. L'énumération active s'appuie sur Nmap, CrackMapExec ou BloodHound pour identifier les vecteurs d'entrée sur les réseaux et l'Active Directory. L'exploitation initiale cible souvent des services exposés, des applications web vulnérables (injections SQL, SSRF, deserialization) ou du spear phishing. Une fois un accès obtenu, la post-exploitation vise le pivoting via des tunnels SSH ou SOCKS5, le dumping de credentials avec Mimikatz ou Secretsdump, et l'élévation de privilèges via des GPO mal configurées ou des ACL abusives. Les contre-mesures défensives incluent le principe de moindre privilège, la segmentation réseau, le durcissement des configurations SMB (désactivation de SMBv1), la rotation régulière des secrets et la surveillance des délégations Kerberos non contraintes.