rapport de test de

pénétration de « …… »
Rapport de test de pénétration
Version 1.0
xx/xx/xxxx

fatiha ait hsein

XX-XXXXX
root@root.net
Table des matières
Introduction.......................................................................................................................................................................... 3
1.1 Confidentialité du document.................................................................................................................................3
Objectif.................................................................................................................................................................................. 3
Exigences...............................................................................................................................................................................3
Récapitulatif général.............................................................................................................................................................4
Recommandations............................................................................................................................................................4
.............................................................................................................................................................................................. 5
.......................................................................................................................................................................................... 5
.......................................................................................................................................................................................... 5
Création de rapports........................................................................................................................................................6
Essai De Pénétration.............................................................................................................................................................6
Nom d'hôte - x.x.x.x...........................................................................................................................................................6

nom 2 Rapport De Pénétration

Introduction
1.1 Confidentialité du document
Le présent document est confidentiel et sa confidentialité consiste à :
- La non divulgation des dites informations confidentielles auprès de tierce partie,
- La non reproduction des informations dites confidentielles, sauf accord de l’organisme
audité,

Objectif
Objectif de test d’intrusion

Exigences

nom 3 Rapport De Pénétration

Récapitulatif général
Recommandations


Méthodologie
La méthodologie PTES (penetration testing execution standard ) se compose de sept (7) sections principales.
Celles-ci couvrent tout ce qui concerne un test d'intrusion -
de la communication initiale et du raisonnement derrière un test d’intrusion, en passant par les phases de
collecte de renseignements et de modélisations des menaces
où les pentesters travaillent dans les coulisses afin de mieux comprendre l'organisation testée, en passant par
la recherche de vulnérabilité, l'exploitation et la postexploitation, où l'expertise technique en sécurité des
pentesters vient jouer et se combiner avec la compréhension métier de l'engagement, et enfin au reporting,
qui b ,capture l'ensemble du processus, d'une manière qui a du sens pour le client et fournit le le plus de
valeur pour lui.

La méthodologie est la suivante :

Interacti a collecte de Modélisatio Analyse des Exploitation Post-

ons pré- renseigneme n des vulnérabilités exploita
nts menaces tion
engage
ment

Rapports

Interactions pré-engagement
Les réunions préalables à l’engagement avec le client permettent de discuter du degré de couverture du test
d’intrusion qui sera réalisé. L’ensemble des engagements pris
avec le client sont définis lors de cette phase.
nom 4 Rapport De Pénétration
La collecte de renseignements
La phase de collecte de renseignements consiste à récupérer n’importe quelle information à propos de
l’entreprise testée. Pour cela, le testeur utilise les réseaux sociaux,
le Google hacking (Récupérer des données sensibles en lançant des requêtes spéciales sur le moteur de
recherche), ou encore le footprinting (Récolter des informations
dont l’accès est libre et autorisé sur les systèmes informatiques cibles via des méthodes telles que
l'énumération réseau, l'identification du système d’exploitation, les
requêtes Whois, les requêtes SNMP, le scan de ports, etc.). Les informations obtenues sur la cible procurent
ainsi de précieuses indications sur les sécurités mises en place.

Modélisation des menaces

La modélisation des menaces exploite les informations recueillies lors de la collecte de renseignements.
L’analyse des résultats obtenus permet de déterminer la méthode
d’attaque la plus efficace contre le système cible. Il s’agit principalement d’identifier les faiblesses de la cible et
de monter son plan d’attaque en fonction de ces dernières.

Analyse des vulnérabilités

Après avoir identifié le type d’attaque le plus efficace à mener contre la cible, il faut maintenant savoir
comment y accéder. Au cours de cette étape, les informations
collectées lors des phases précédentes sont mises en relation pour déterminer si l’attaque choisie est
réalisable. Les informations recueillies grâce à des scans de ports,
des scans de vulnérabilités, ou celles issues de la collecte de renseignements sont notamment prises en
considération.

Exploitation
La plupart du temps, la phase d’exploitation utilise l’attaque par brut force. Cette phase n’est, par ailleurs,
lancée que si un type d’exploit permet à coup sûr de parvenir au
but recherché. Il n’est pas à exclure, en effet, qu’une sécurité supplémentaire puisse empêcher l’accès au
système cible.

Post-exploitation
La phase postérieure à l’exploitation est une phase critique dans un test d’intrusion. Elle commence après
l’intrusion dans le système attaqué et consiste à déterminer sur
celui-ci les informations qui ont le plus de valeur. Il s’agit de montrer l’impact financier que pourrait avoir une
fuite ou une perte de ces informations sur l’entreprise.

Création de rapports
Dans la section Test de pénétration du rapport, chaque hôte a été séparé en une section distincte, avec un résumé, un
rapport de suppression de chaîne détaillant chaque étape et quelques recommandations. Cette façon d'organiser le
rapport permettra aux administrateurs système de...

nom 5 Rapport De Pénétration

Essai De Pénétration
Nom d'hôte - x.x.x.x
Nom d'hôte
Adrsese IP

Système d'exploitation
Ports ouverts
Services et applications 
Informations 
d'identification
Preuve

nom 6 Rapport De Pénétration