Test d'intrusion

Description

Les tests d'intrusion sont un moyen d'éprouver la sécurité d'un système en tentant de contourner les protections mises en place. Ils sont généralement réalisés en « boîte noire », ce qui signifie que les informations fournies par le client sont minimales. L'objectif est alors de se placer dans le même contexte qu'un attaquant afin d'identifier les éventuelles vulnérabilités et faiblesses qu'il pourrait utiliser pour compromettre la cible.
A l'issue de ces tests, nous vous fournirons un rapport détaillant les techniques employées, les failles découvertes, ainsi que des recommendations vous permettant de les corriger.

Exemples de cibles

Applications web et API
Applications mobile (Android, iOS, etc.)
Internet of Things (IoT)
Infrastructure (Cloud, VPN, etc.)

Audit de sécurité

Description

Les audits de sécurité permettent d'obtenir une vue globale de la sécurité d'un système en effectuant une analyse approfondie de son fonctionnement ou de sa configuration. Ils diffèrent des tests d'intrusion de par leur approche, dite « boîte blanche », qui requiert un accès à toute information pouvant favoriser l'identification de vulnérabilités (e.g. code source, fichiers de configuration, etc.). L'accès à ces informations permet d'appliquer plus facilement et plus efficacement des méthodes d'analyse statique et dynamique.
De même que pour les tests d'intrusion, un rapport détaillé vous sera fourni mettant en avant les vulnérabilités identifiées et les corrections proposées.

Types d'audits

Audit de code : nous effectuons une revue manuelle et détaillée du code source fourni (application mobile, pilote, système d'exploitation, etc.).
Audit de configuration : nous vérifions la configuration et l'architecture d'un système ou de ces éléments (pare-feu, VPN, SELinux, etc.).

Recherche et développement

Nous pouvons également intervenir sur des projets de R&D, s'étalant généralement sur une durée plus longue et nécessitant une expertise poussée ainsi que des compétences spécifiques.
Nous sommes en mesure de répondre à ces problématiques en vous proposant nos compétences dans les domaines suivants :

Rétro-ingénierie : analyse et compréhension d'un binaire d'une architecture donnée (x86, x64, ARM, etc.) dont on ne possède ni le code source, ni la documentation.
Recherche de vulnérabilités : identification de vulnérabilités dans une base de code complexe ou un composant nécessitant de la rétro-ingénierie.
Exploitation : développement d'un exploit pour une vulnérabilité donnée, optimisation de sa stabilité et rapidité.
Développement d'outils : création de logiciels spécialisés utilisés pour simplifier la rétro-conception et la recherche de vulnérabilités (harnais, fuzzers, émulateurs, plugins IDA/Ghidra/Binary Ninja, etc.).

Formation

Par le passé, nous avons donné plusieurs formations à des conférences internationales telles que TROOPERS, hardwear.io ou encore Zer0Con. Aujourd'hui nous vous proposons des formations personnalisées en fonction de vos besoins afin de vous partager notre expertise sur divers sujets.