ptes

 Nom de l equipe de test : Groupe 1

 Date de Test: 14/10/2023

 Cree par : hind benlarbi

Equipe de Test:

 Chef de projet: alberto sasser

 Email:alberto .sasser@gmail.com

 Telephone: 6255447711

Analyse de securite :

 Crispa nicolo

 Email: nicolo.crispa@gmail.com

 Telephone:64478955

Specialiste en Reseaux:

 Oussama el ghourabi

 Marwane

 Saif

 Zakaria lamaachi
Table des matières

1. Introduction

- Objectifs du test

- Portée du test

- Méthodologie utilisée

2. Résumé exécutif

- Résumé des résultats clés

- Recommandations principales

3. Méthodologie de test

- Description de la méthodologie PTES utilisée

- Explication des différentes phases du test

4. Résultats du test

- Liste des vulnérabilités identifiées

- Description détaillée de chaque vulnérabilité

5. Conclusion

- Récapitulatif des résultats clés

- Perspectives d'amélioration future

6. Annexes

- Liste des outils utilisés

- Références et sources d'information

1 .Objectifs du test PTES:

Les objectifs du test PTES (Penetration Testing Execution Standard) sont

de fournir des lignes directrices techniques pour mener à bien un test de
pénétration. Ces objectifs incluent:
1. Identifier les vulnérabilités et les faiblesses du système cible.

2. Évaluer l'efficacité des mesures de sécurité en place.

3. Tester la résistance du système aux attaques.

4. Fournir des recommandations pour améliorer la sécurité du système.

Portée du test:

La portée du test PTES dépendra des besoins spécifiques de l'organisation

et des objectifs du test. Cela peut inclure:

1. Test de pénétration interne: évaluer la sécurité du réseau interne de

l'organisation.

2. Test de pénétration externe: évaluer la sécurité du réseau externe de

l'organisation.

3. Test de pénétration d'application: évaluer la sécurité des applications

web ou mobiles de l'organisation.

4. Test de pénétration sans fil: évaluer la sécurité des réseaux sans fil de
l'organisation.

5. Test de pénétration physique: évaluer la sécurité physique des

installations de l'organisation.

Méthodologie utilisée:

La méthodologie utilisée dans le test PTES est basée sur le Penetration

Testing Execution Standard (PTES). Cette méthodologie comprend les
étapes suivantes:
1. Planification et préparation: définir les objectifs du test, établir une
portée claire, obtenir les autorisations nécessaires et rassembler les
informations pertinentes.

2. Collecte d'informations: recueillir des informations sur le système cible,

et compris les adresses IP, les noms de domaine, les services en cours
d'exécution, etc.

3. Analyse des vulnérabilités: identifier les vulnérabilités potentielles dans

le système cible en utilisant des outils automatisés et des techniques
manuelles.

4. Exploitation des vulnérabilités: exploiter les vulnérabilités identifiées

pour démontrer leur impact potentiel sur le système cible.

5. Évaluation de l'impact: évaluer l'impact des vulnérabilités exploitées

sur le système cible, et compris les risques pour la confidentialité,
l'intégrité et la disponibilité des données.

6. Rapport et recommandations: documenter les résultats du test, y

compris les vulnérabilités identifiées, les exploits réussis, les risques
associés et les recommandations pour améliorer la sécurité du système.

3. Méthodologie de test - PTES (Penetration Testing Execution Standard):

1. Pré-engagement (Pre-Engagement Interactions) : Cette phase implique

une collaboration intensive entre le client et le testeur pour définir les
objectifs, le périmètre et les attentes du test. Elle comprend également la
planification préliminaire et la coordination avec les parties prenantes
2. Collecte de renseignements (Intelligence Gathering) : Dans cette phase,
des informations sur l'infrastructure cible sont collectées à partir de
sources publiques et privées. Cela permet de comprendre les
vulnérabilités potentielles et les points d'entrée possibles pour les
attaquants [

3. Modélisation des menaces (Threat Modeling) : La modélisation des

menaces consiste à identifier les menaces potentielles spécifiques à
l'infrastructure testée. Cela permet de déterminer les processus critiques et
les données sensibles qui doivent être protégés

4. Analyse des vulnérabilités (Vulnerability Analysis) : Dans cette phase,

les vulnérabilités de l'infrastructure sont identifiées et validées. Cela peut
être fait à la fois de manière manuelle et automatique, en utilisant des
outils spécialisés. L'objectif est de déterminer les failles de sécurité qui
pourraient être exploitées

5. Exploitation : Après avoir identifié les vulnérabilités, le testeur tente de

les exploiter pour évaluer la résistance de l'infrastructure aux attaques
réelles. Cela permet de tester l'intégrité, la disponibilité, la confidentialité
et la traçabilité des systèmes

6. Post-exploitation : Cette phase simule une attaque réussie et évalue les

conséquences potentielles. Elle permet de déterminer les données
sensibles qui pourraient être compromises et les mesures de contrôle qui
pourraient être contournées
7. Rapport : Enfin, une fois les tests terminés, un rapport détaillé est
rédigé pour documenter les résultats, les vulnérabilités identifiées et les
recommandations pour les corriger. Ce rapport est essentiel pour aider
l'entreprise à renforcer sa sécurité

4 . Résultats du tests :

- Liste des vulnérabilités identifiées:

1. Pratiques d'authentification faibles : Les tests de pénétration peuvent

révéler des problèmes tels que l'utilisation de mots de passe faibles,
l'absence de verrouillage de compte après un certain nombre de tentatives
infructueuses, ou l'absence de mécanismes de double authentification.

2. Failles de cross-site scripting (XSS) : Les vulnérabilités XSS

permettent à un attaquant d'injecter du code malveillant dans des pages
web, ce qui peut compromettre la sécurité des utilisateurs du site.

3. Injection SQL : Les vulnérabilités d'injection SQL se produisent

lorsque des données non filtrées sont insérées dans des requêtes SQL, ce
qui peut permettre à un attaquant d'exécuter des commandes non
autorisées sur la base de données.

- Description détaillée de chaque vulnérabilité:

1. Pratiques d'authentification faibles : Les tests de pénétration peuvent

révéler des problèmes tels que l'utilisation de mots de passe faibles,
l'absence de verrouillage de compte après un certain nombre de tentatives
infructueuses, ou l'absence de mécanismes de double authentification.

2. Failles de cross-site scripting (XSS) : Les vulnérabilités XSS

permettent à un attaquant d'injecter du code malveillant dans des pages
web, ce qui peut compromettre la sécurité des utilisateurs du site.
3. Injection SQL : Les vulnérabilités d'injection SQL se produisent
lorsque des données non filtrées sont insérées dans des requêtes SQL, ce
qui peut permettre à un attaquant d'exécuter des commandes non
autorisées sur la base de données.

5. Conclusion:

- Récapitulatif des résultats clés:

- Principaux résultats :

1. Les tests de pénétration aident à identifier les vulnérabilités de sécurité

au sein d'une infrastructure informatique en simulant les attaques
autorisées .

2. Il permet aux organisations de suivre les violations de données et les

accès non autorisés à leurs systèmes
3. Les tests de pénétration aident à répondre aux exigences de conformité
et à évaluer l'efficacité des contrôles de sécurité

4. Il fournit un aperçu complet de la posture de sécurité d'une organisation

et aide à hiérarchiser les domaines

- Perspectives d'amélioration future:

1. Tests continus : La mise en œuvre de tests d’intrusion continus peut

aider les organisations à garder une longueur d’avance sur les menaces
émergentes et à identifier les vulnérabilités en temps réel]

2. Automatisation : L’utilisation accrue d’outils et de technologies

automatisés peut rationaliser le processus de test d’intrusion et améliorer
l’efficacité

3. Intégration des renseignements sur les menaces : l’intégration des

renseignements sur les menaces dans les tests d’intrusion peut fournir aux
organisations des informations à jour sur les menaces émergentes et aider
à hiérarchiser les efforts de test

6. Annexes:
 - Liste des outils utilisés:

Voici une liste d'outils utilisés pour la sécurité de l'infrastructure :

1. Systèmes de prévention des intrusions (IPS)

- Cisco Next Generation IPS (NGIPS)

- Trend Micro TippingPoint Threat Protection System

2. Protection des points d'extrémité

- Symantec Endpoint Security

3. Courtiers de sécurité d'accès au cloud (CASB)

- Netskope Security Cloud

- McAfee Skyhigh Security Cloud

5. Outils antimalwares

- Kaspersky Anti-Virus

- Webroot SecureAnywhere Business Endpoint Protection

6. Défense contre les menaces mobiles

- Wander

- Zimperium zIPS Mobile Intrusion Prevention System