Guide OWASP des tests de sécurité IoT
Structure des tests couvrant les appareils, les micrologiciels, les communications, les interfaces et les composants de l’écosystème.
Tests d’intrusion
Tests d’intrusion des systèmes IoT et connectés
Une évaluation sur mesure de l’écosystème d’appareils autorisé, couvrant le produit, les interfaces locales, les communications et les composants cloud ou mobiles associés inclus dans le périmètre.
Périmètre de l’évaluation
Éléments testés
La couverture définitive des tests est convenue lors de la définition du périmètre et se limite aux systèmes pour lesquels une autorisation écrite a été fournie.
Interfaces des appareils et services exposés
Gestion des micrologiciels et secrets intégrés
Authentification et autorisation
Mécanismes de mise à jour et de récupération
Protocoles radio, réseau et applicatifs
Services mobiles, web et cloud associés
Déroulement de la mission
Un processus maîtrisé, de l’autorisation au test de vérification.
01
Périmètre et autorisation
Définissez les objectifs, les systèmes approuvés, les contraintes, les créneaux de test, les contacts et les règles d’engagement.
02
Découverte
Définissez la surface d’attaque autorisée, l’architecture, les rôles utilisateurs, les actifs et les critères d’évaluation applicables.
03
Tests maîtrisés
Évaluez le périmètre approuvé à l’aide de méthodes manuelles et techniques adaptées à l’environnement.
04
Validation
Confirmez les constats en toute sécurité, éliminez les faux positifs et établissez les impacts concrets sur les plans technique et métier.
05
Production de rapports
Recevez des constats étayés par des preuves, une évaluation des risques, une synthèse destinée à la direction et des priorités de remédiation.
06
Examen des mesures de remédiation
Examinez les actions correctives proposées et clarifiez les priorités de mise en œuvre avec l’équipe d’évaluation.
07
Nouveau test
Vérifiez les corrections convenues et consignez, pour chaque constat testé, si le problème a été résolu, atténué ou reste ouvert.
Références de l’évaluation
Normes et recommandations sectorielles
ETSI EN 303 645
Dispositions de sécurité de base pour l’IoT grand public, utilisées comme cadre de référence pour l’audit, le cas échéant.
Série NISTIR 8259
Recommandations relatives aux capacités de cybersécurité des appareils et aux activités des fabricants.
Les normes guident la définition du périmètre et de la couverture des tests. Une évaluation ne constitue pas en elle-même une certification et ne garantit pas la conformité.
Production de rapports
Ce que vous recevez
Couverture des composants et des frontières de confiance
Constats validés relatifs aux appareils et à l’écosystème
Éléments probants et impact concret
Recommandations techniques de remédiation
Plan de nouveau test
Définissez un périmètre de test adapté.
Discutez des systèmes, des objectifs, du niveau d’accès et des éléments probants requis avec DIGITPOL.