Tests d’intrusion article

Ce que comprend un test d’intrusion d’application web

Un test d’intrusion d’application web combine une analyse manuelle et des outils techniques adaptés. Il examine le comportement des utilisateurs, des rôles, des sessions, des données et des processus métier dans le périmètre applicatif autorisé.

Vue d’ensemble de l’évaluation

Contenu de l’évaluation

Routes applicatives, rôles, comptes de test, environnements et exclusions convenus à l’avance

Tests authentifiés et non authentifiés lorsque les deux sont inclus dans le périmètre

Revue manuelle des contrôles d’accès, des sessions, du traitement des entrées et de la logique métier

Validation sécurisée des constats à l’aide de données de test désignées

Rapports étayés par des preuves, destinés à la direction, aux équipes d’ingénierie et aux nouveaux tests

Couverture des tests

Éléments examinés

La couverture définitive dépend des systèmes, des accès, des objectifs, des exclusions et des exigences de sécurité convenus.

Authentification et récupération de compte

Gestion des sessions

Contrôle des accès et limites des privilèges

Traitement des entrées et risques d’injection

Exploitation abusive de la logique métier

Données sensibles et contrôles de sécurité du navigateur

Références sectorielles

Éléments guidant la couverture des tests

Guide OWASP des tests de sécurité web

Couverture des tests pour l’évaluation de la sécurité des applications web.

OWASP ASVS

Vérification des mesures de contrôle et du contexte de restitution lorsqu’un niveau d’assurance est convenu.

PTES

Définition du périmètre, validation contrôlée, analyse après les tests et rédaction des rapports.

Ces référentiels orientent l’évaluation. Les tests ne constituent pas en eux-mêmes une certification et ne garantissent pas la conformité.

Rapport final

Contenu du rapport

Le rapport est conçu aussi bien pour les décideurs que pour les équipes chargées de la remédiation.

Couverture alignée sur les fonctions applicatives convenues

Constats techniques reproductibles

Éléments probants et rôles concernés

Recommandations de remédiation pour les équipes de développement

Test de vérification en option

Discuter du périmètre et du rapport requis.

DIGITPOL confirmera les cibles, les contraintes, les besoins en matière de preuves et les exigences relatives aux rapports avant les tests.

Demander une évaluation