Tests d’intrusion article

Ce que comprend un test d’intrusion IoT

Un test d’intrusion IoT examine l’écosystème du produit autorisé, notamment les appareils, les micrologiciels, les interfaces locales, les communications et les applications connectées. Les exigences précises en matière de laboratoire et d’accès dépendent du produit.

Vue d’ensemble de l’évaluation

Contenu de l’évaluation

Appareils, versions des micrologiciels, interfaces, applications, services et frontières de confiance

Examen des services exposés, des accès locaux, du stockage et des secrets intégrés

Scénarios d’authentification, d’autorisation, de mise à jour, de récupération et d’altération

Évaluation des protocoles radio, réseau et applicatifs, ainsi que des services connectés

Éléments probants pour chaque composant, impact concret, recommandations techniques et planification des nouveaux tests

Couverture des tests

Éléments examinés

La couverture définitive dépend des systèmes, des accès, des objectifs, des exclusions et des exigences de sécurité convenus.

Interfaces des appareils et services exposés

Gestion des micrologiciels et secrets intégrés

Authentification et autorisation

Mécanismes de mise à jour et de récupération

Protocoles radio, réseau et applicatifs

Services mobiles, web et cloud associés

Références sectorielles

Éléments guidant la couverture des tests

Guide OWASP des tests de sécurité IoT

Structure des tests couvrant les appareils, les micrologiciels, les communications, les interfaces et les composants de l’écosystème.

ETSI EN 303 645

Dispositions de sécurité de base pour l’IoT grand public, utilisées comme cadre de référence pour l’audit, le cas échéant.

Série NISTIR 8259

Recommandations relatives aux capacités de cybersécurité des appareils et aux activités des fabricants.

Ces référentiels orientent l’évaluation. Les tests ne constituent pas en eux-mêmes une certification et ne garantissent pas la conformité.

Rapport final

Contenu du rapport

Le rapport est conçu aussi bien pour les décideurs que pour les équipes chargées de la remédiation.

Couverture des composants et des frontières de confiance

Constats validés relatifs aux appareils et à l’écosystème

Éléments probants et impact concret

Recommandations techniques de remédiation

Plan de nouveau test

Discuter du périmètre et du rapport requis.

DIGITPOL confirmera les cibles, les contraintes, les besoins en matière de preuves et les exigences relatives aux rapports avant les tests.

Demander une évaluation