Pentest :
Réduire proactivement les menaces

Les menaces croissantes qui pèsent sur les systèmes d’information constituent aujourd’hui un problème majeur pour les entreprises et les gouvernements du monde entier.

Les cybercriminels utilisent toute une série de techniques sophistiquées pour s’introduire dans les réseaux informatiques, compromettre les actifs sensibles et perturber les activités des entreprises. Les conséquences de ces incidents peuvent être catastrophiques, allant de la perte de données critiques à l’interruption des opérations commerciales, en passant par la perte de réputation et de confiance des clients.

Identifier et traiter les vulnérabilités avant que les acteurs malveillants ne le fassent, renforcer les défenses de cybersécurité et réduire le risque d’atteinte à la protection des données.

Contactez nos experts techniques

Pentest : Cartographie externe

Cartographie externe : Les Challenges

Garantir une liste exhaustive des actifs en ligne ou dans le Cloud présente plusieurs défis :

Maintenir une documentation à jour des serveurs que ce soit sur la DMZ ou à travers des services Cloud.
Identifier et restreindre l’accès aux seuls services nécessaires depuis Internet.
Empêcher l’accès à des serveurs de tests, développement, ou pré-production.
Maîtriser les nouveaux actifs lors d’une fusion ou acquisition.
Favoriser la collaboration entre les équipes IT pour éviter des erreurs de configuration, comme des règles de pare-feu, pouvant entraîner des accès non autorisés depuis Internet.

Cartographie externe : Nos Solutions

QLab offre un acompagnement éprouvé pour localiser la majorité de vos actifs en ligne :

Une méthodologie utilisant de nombreuses techniques (whois, ASN, moteurs de recherches, favicon, etc.) pour repérer les actifs publiés sur Internet.
Interrogation de nombreux services externes pour une exhaustivité maximale (virustotal, censys, crtsh, shodan, etc.).
Création de dictionnaires spécifiques basés sur une itération des noms de domaines identifiés.
Un service proposé de manière continue afin d’alerter sur les nouveaux actifs détectés.

Test d'intrusion externe

Test d'intrusion externe : Les Challenges

De nombreux services, tels que VPN, consoles d’administration, serveurs de messagerie, et parfois même des bases de données, sont exposés sur Internet, engendrant des risques de prise de contrôle, de vol de données et d’intrusions. Les organisations doivent relever divers défis :

Vérifier que seuls les services souhaités soient exposés : localisation de l’hébergement, filtrage réseau, authentification préalable,…
S’assurer que les services accessibles soient à jour.
Utiliser une configuration des services suffisamment robuste afin d’empêcher certaines attaques.
Vérifier les mécanismes d’authentification et prévenir les intrusions à cause de mots de passe faibles.
Détecter les éventuelles attaques : tentatives d’exploitation, brute-force, etc.

Test d'intrusion externe : Nos solutions

Les tests externes proposés répondent aux différents challenges mentionnés ci-contre, notamment grâce à :

Une approche faisant intervenir des tests à la fois réseaux, systèmes et applicatifs.
L’identification de vulnérabilités grâce à l’utilisation d’outils spécialisés, des tests manuels et d’une veille technologique constante.
La mise en place de scénarios d’attaques combinés.
La possibilité de coupler la recherche de points de présence avec les tests externes, offrant une vue globale de l’exposition et de son niveau de sécurité sur Internet.

Test d’intrusion Web

Test d’intrusion Web : Les Challenges

Les défis de sécurité informatique, que ce soit lors du développement d’une application web ou l’utilisation d’un service tiers, exigent de :

S’assurer que l’application utilisée est robuste face aux menaces externes.
Travailler avec des développeurs web ayant des compétences en programmation sécurisée.
Utiliser des socles systèmes et applicatifs robustes et correctement configurés.
Vérifier la conformité aux réglementations en matière de protection des données telles que le RGPD.

Test d’intrusion Web : Nos Solutions

De la phase de conception à la phase post-déploiement, bénéficiez de l’expertise de notre équipe pentest :

Des profils confirmés avec des compétences variées et ayant accompli plusieurs projets de R&D.
Utilisation d’une méthodologie éprouvée (OWASP) et basée sur l’expérience des pentesters, notamment à travers des programmes de Bug Bounty.
Une approche largement manuelle permettant de comprendre et adresser toutes les fonctionnalités métiers d’une application.
La maîtrise et l’utilisation d’outils dédiés à la recherche de vulnérabilités web (Burp Suite Professionnel, Nuclei, ffuf, gospider, etc.).

Test d’intrusion d'applications mobiles

Test d’intrusion d'applications mobiles : Les Challenges

Lors du développement d’une application mobile, les entreprises doivent s’assurer que l’ensemble du processus (définition des fonctionnalités, exigences, développement, tests de l’application, gestion des mises à jour, gestion des données, etc.) soit réalisé en suivant les meilleures pratiques de sécurité :

S’assurer que l’application mobile est robuste face aux menaces externes.
De mettre en place des dispositifs pour ralentir un attaquant sur l’étude de l’application (obfuscation de code, détection de root/jailbreak).
De disposer ou de faire appel à des développeurs ayant des compétences en programmation sécurisée.

D’utiliser des socles systèmes et applicatifs robustes et correctement configurés
De la conformité aux réglementations en matière de protection des données telles que le RGPD

Test d’intrusion d'applications mobiles : Nos Solutions

De la phase de conception à la phase post-déploiement, bénéficiez de l’expertise de notre équipe pentest :

Des profils confirmés avec des compétences variées et ayant accompli plusieurs projets de R&D.
Utilisation d’une méthodologie éprouvée (OWASP) et basée sur l’expérience des pentesters, notamment à travers des programmes de Bug Bounty.
Une approche largement manuelle permettant de comprendre et adresser toutes les fonctionnalités métiers d’une application.
La maîtrise et l’utilisation d’outils dédiés à la recherche de vulnérabilités mobile (Frida, APKTool, JADX, Asthook, IDA Pro, Burp Suite Professionnel, outils internes, etc.)

Test d’intrusion interne

Test d’intrusion interne : Les Challenges

Pour garantir la sécurité d’un réseau interne, des défis majeurs incluent :

Veiller à l’application de politiques de sécurité sur tous les actifs internes.
Mettre en place des protections contre les attaques et/ou instaurer une surveillance active.
Utiliser des bases systèmes et applicatives robustes et bien configurées.
Appliquer régulièrement des mises à jour de sécurité sur les équipements, systèmes et applications.
Installer un cloisonnement réseau limitant l’accès aux services nécessaires.
Répondre aux interrogations par le biais de tests spécifiques (ex.).

Test d’intrusion interne : Nos solutions

Bénéficiez de l’expertise de notre équipe pentest pour identifier les faiblesses de sécurité sur votre système interne. Nous vous proposons :

Des profils confirmés avec des compétences variées et ayant accompli plusieurs projets de R&D.
La mise en oeuvre de nombreuses méthodes d’attaques, dont celles décrites dans le référentiel MITRE ATT&CK, permettant d’atteindre les objectifs fixés.
Une approche en différentes étapes : découverte réseau, élévation de privilèges, déplacement latéral, prise de contrôle de serveurs, compromission du domaine AD.
L’expertise nécessaire pour contourner les équipements de sécurité (EDR, antivirus, etc.).

Audit de configuration

Audit de configuration : Les Challenges

Lors du déploiement d’un nouveau socle système, applicatif ou réseau, les défis sont nombreux :

Assurer la conformité des paramètres de configuration avec des référentiels reconnus : RGS de l’ANSSI, CIS, NIST, etc.
Garantir que la configuration des actifs n’engendre aucun risque de sécurité pouvant impacter le SI.
Analyser et contrôler l’historique des règles sur les équipements de sécurité : parefeu, IDS/IPS…
Appliquer une gestion des identités et des accès pour prévenir les accès frauduleux.
Évaluer l’efficacité des configurations spécifiques (EDR, IPS, etc.)

Audit de configuration : Nos Solutions

Bénéficiez de l’expertise de notre équipe pentest spécialisée dans l’audit de configuration, caractérisée par :

Une connaissance approfondie des systèmes et des réseaux.
La maîtrise de nombreuses solutions pour adresser un large panel d’applications.
Des compétences élargies, notamment à travers les travaux de R&D du laboratoire interne sur des nouvelles technologies.
Une approche permettant d’écarter les faux-positifs grâce à la collecte automatisée et la vérification manuelle des éléments de configuration.
L’utilisation d’outils reconnus : Nessus Professionnel, Nipper.

Test d’intrusion Wi-Fi

Test d’intrusion Wi-Fi : Les Challenges

Le maintien d’un certain niveau de sécurité sur un réseau Wi-Fi posent plusieurs défis de sécurité informatique, notamment :

Valider la configuration appliquée au réseau Wi-Fi d’entreprise et la méthode de sécurité choisie.
S’assurer que le réseau invité / portail captif ne permet pas d’accéder au réseau interne.
Confirmer la mise en œuvre de politiques robustes sur les laptops des collaborateurs concernant l’appairage au Wi-Fi d’entreprise.
S’assurer que le portail captif est robuste contre des attaques réseau / web.

Vérifier que les protections contre les attaques Man-In-The-Middle sont appliquées et fonctionnelles et ne permettent pas de compromettre un compte utilisateur.
Vérifier que les sondes permettant de détecter des points d’accès frauduleux sont efficaces.

Test d’intrusion Wi-Fi : Nos Solutions

L’expertise de notre équipe pentest vous accompagne dans l’identification des faiblesses de sécurité sur votre infrastructure Wi-Fi grâce à :

Des profils confirmés avec des compétences variées et ayant accompli plusieurs projets de R&D.
Une utilisation de nombreuses méthodes d’attaques et de matériel adapté.
Une approche personnalisable selon les scénarios redoutées.
La possibilité d’adresser d’autres protocoles sans-fil à travers les équipes QLab.

Red Team & simulation d'attaquants cyber

Red Team & simulation d'attaquants cyber : Les Challenges

Les tests Red Team sont conçus pour mettre à l’épreuve la sécurité des organisations en simulant des attaques réalistes et ciblées, afin de révéler les vulnérabilités potentielles et d’améliorer votre posture de sécurité globale. L’objectif étant de :

Evaluer la résistance aux attaques sophitiquées et ciblées en simulant des tactiques, techniques et procédures (TTP) avancées.
Détecter les failles de sécurité latentes non découvertes dans le cadre des tests d’intrusion traditionnels de votre organisation.
Éprouver votre sécurité physique et logique en incluant des évaluations de sécurité physiques et des tests d’ingénierie sociale pour refléter une attaque complète.
Tester votre réponse aux incidents en évaluant la capacité de votre organisation à détecter, répondre et contenir une cyberattaque simulée.

Red Team & simulation d'attaquants cyber : Nos Solutions

Notre approche proactive a pour but d’améliorer la sécurité de votre organisation. Nos objectifs sont de vous fournir :

L’identification précise des vulnérabilités et des faiblesses de sécurité détectées.
Des recommandations en adéquation avec votre contexte.
Des rapports détaillés sur le cheminement des tests, les aspects positifs de votre sécurié et les actions correctives associées.

Campagne de phishing

Campagne de phishing : Les challenges

Les attaques par phishing ciblent souvent la barrière humaine de sécurité, en exploitant la confiance des utilisateurs pour accéder à des informations sensibles. Les challenges que vous pouvez affronter sont :

Evaluer votre résistance à des attaques simulées utilisant le plus commun des vecteurs d’accès à votre organisation
Entraîner vos employés à reconnaitre et à signaler une tentative d’attaque par phishing
Mesurer votre capacité à identifier et bloquer les campagnes de phishing par emails visant à porter atteinte à votre compagnie.

Campagne de phishing : Nos solutions

Les services de campagne de phishing proposés par Quarkslab visent à évaluer trois enjeux, à travers une approche exhaustive et proactive, incluant :

La création et la réalisation de campagnes réalistes de phishing par email
La Simulation des tactiques réelles mise en œuvre par les attaquants
Le test de la capacité de votre organisation à détecter, signaler et répondre aux attaques par phishing.

Pentest - Bénéficiez de l'expertise de Quarkslab

Une équipe de profils solides et disposant de certifications appropriées.

Notre équipe

Certifications :

OSCP

OSEP

SANS-SEC560 (Enterprise Pentest)

SANS-SEC760 (Exploit for Pentest)

SANS-FOR508 (Advanced Forensic)

CEHv6

EC-Council

Une équipe expérimentée pour construire des pentest uniques à chaque contexte

QLab

12 ans d’existence

Rétro-ingenierie

Recherche de vuln

Cryptographie

Cloud

Blockchain

Conférences :

SSTIC, BlackHat, Hardware.io…

Pentest : Réduire proactivement les menaces