Executive Summary
Au début du rapport et d'une longueur maximale d'une page, c'est le résumé de haut niveau destiné au Management.
Des failles invisibles pour les scanners
Web Application Penetration Test manuel, conforme aux normes OWASP et OSSTMM
Web Application Penetration Test (WAPT)
Le service de Web Application Penetration Testing est l'un des services de sécurité applicative (Application Security Assessment) proposés par ISGroup.
Les applications web sont désormais prédominantes et de plus en plus sophistiquées, en plus d'être critiques pour toutes les entreprises basées sur le web.
Nous analysons les composants critiques d'un portail web, d'une application E-Commerce ou d'une plateforme web.
En utilisant des techniques manuelles et de multiples outils appropriés, le testeur est capable d'identifier les problèmes évidents et cachés.
Comme pour les applications client/serveur, les applications web souffrent généralement d'une mauvaise gestion des requêtes du client et d'une validation et d'un contrôle inexistants ou inappropriés de la part du développeur.
Compte tenu de la nature des applications web, elles sont totalement exposées et accessibles : cela rend la "sécurité par l'obscurité" (security through obscurity) impossible et impose la nécessité d'avoir un code applicatif résistant.
Deuxièmement, les applications web traitent des données provenant de requêtes HTTP, un protocole qui permet de multiples encodages et encapsulations différentes.
Description
Un Web Application Penetration Test représente la simulation d'un attaquant à l'encontre d'un site, portail ou application web. Le test consiste initialement à découvrir et à identifier toutes les ressources exposées sur la cible.
En parallèle, le testeur effectue une analyse de la logique métier pour vérifier l'absence de problèmes conceptuels.
À ce stade, avant de tester les applications web proprement dites, l'infrastructure est contrôlée à la recherche de vulnérabilités connues et inconnues.
Une fois les points d'attaque (entry points) valides identifiés, on procède à la tentative d'attaque dont l'objectif est la compromission la plus profonde et la plus étendue possible.
Ensuite, à l'aide d'outils et de tests manuels, chaque paramètre est testé avec des valeurs prédéfinies et des techniques d'attaque génériques pour la plateforme utilisée sont tentées.
Compte tenu du niveau d'accès obtenu, nous tenterons d'effectuer des actions non autorisées, d'extraire des données de la base de données backend, d'extraire des fichiers ou des sources du disque, de modifier des informations et, si possible, d'obtenir le contrôle total de la machine et des machines adjacentes.
Le Rapport
Vous recevez un document clair et détaillé, divisé en trois parties.
Vulnerability Details
La partie technique qui décrit en détail les vulnérabilités rencontrées et leur impact, dédiée au Security Manager.
Remediation Plan
Section technique avec des instructions précises sur la façon de résoudre les problèmes identifiés, dédiée aux développeurs.
Combien ça coûte
À partir de 5 000 € HT
Pour une seule application web. Le prix augmente avec le nombre d'applications et d'API, les rôles et niveaux d'accès, les flux critiques à vérifier et les environnements de test.
Prouvez votre engagement
À la fin du Web Application Penetration Test, vous recevez un document signé, en italien et en anglais, qui indique l'activité, la période et le périmètre. Contrairement au rapport, il ne contient ni vulnérabilités ni détails techniques : vous pouvez le remettre à toute personne qui le demande sans exposer d'informations sensibles. Il est inclus dans le service.
Attestation d'exécution
IT / EN
- Client
- Activité
- Période
- Périmètre
ISGroup
Web Application Penetration Test
et conformité
PCI DSS
Vérifie les applications web exposées, les API et l'authentification lors des tests d'applications publiques et penetration tests exigés par PCI DSS 6.4.2 et 11.4.
NIS2
Évalue l'efficacité des mesures de cybersécurité des applications et identifie les vulnérabilités exploitables, conformément à NIS2 art. 21.2.f.
DORA
Teste les applications web et API des services financiers et documente les résultats pour le programme prévu par DORA art. 24-25.
RGPD
Examine les applications traitant des données personnelles et produit des résultats techniques pour les tests réguliers exigés par le RGPD art. 32.1.d.
ISO/IEC 27001
Identifie les vulnérabilités exploitables des applications web et API et documente les priorités de correction à l'appui de la mesure A.8.8 ISO/IEC 27001:2022.
OWASP WSTG
Applique des tests structurés à la configuration, l'identité, l'authentification, l'autorisation, aux sessions, entrées et à la logique applicative selon OWASP WSTG.
Questions fréquentes sur le
Web Application Penetration Test
Que vérifie un Web Application Penetration Test ?
Un Web Application Penetration Test vérifie la sécurité des sites, portails, plateformes e-commerce et API dans le périmètre convenu. Le testeur cartographie pages, API, rôles, flux et points d'entrée, analyse la logique métier lorsque c'est pertinent et tente une exploitation contrôlée des vulnérabilités avec les profils utilisateurs convenus, en combinant tests manuels et outils.
En quoi diffère-t-il d'un scan automatisé ou d'un Vulnerability Assessment ?
Le Web Application Penetration Test ajoute des tests manuels et une exploitation contrôlée à l'identification des vulnérabilités. Le Vulnerability Assessment identifie et évalue les vulnérabilités sans cette exploitation. Pour les infrastructures et services réseau, le service dédié est le Network Penetration Test ; pour les apps iOS et Android, le Mobile Application Security Testing.
Que faut-il pour démarrer et combien de temps dure le test ?
La durée du Web Application Penetration Test est indiquée dans la proposition après la définition du périmètre. La proposition précise les applications et API concernées, l'environnement et la modalité de test, les comptes, les rôles, les flux critiques ainsi que l'effort ou la time-box convenus.
Combien coûte un Web Application Penetration Test ?
Un Web Application Penetration Test coûte à partir de 5 000 € HT pour une seule application web. Le prix augmente avec le nombre d'applications et d'API, les rôles et niveaux d'accès, les flux critiques à vérifier et les environnements de test.
Que contient le rapport et puis-je voir un exemple ?
Le rapport technique décrit les vulnérabilités identifiées avec leurs priorités et un plan de remédiation ; les niveaux Professional et Advanced comprennent également une synthèse executive. Le rapport complet reste confidentiel, mais un consultant peut montrer un exemple anonymisé lors d'un appel. Une Attestation d'exécution signée, sans détails techniques, est également incluse pour être remise à des tiers.
Le retest des vulnérabilités est-il inclus ?
Le retest vérifie à nouveau les vulnérabilités signalées après les corrections et indique pour chacune si elle est entièrement corrigée, partiellement corrigée, non corrigée ou non testable. Il est optionnel pour les projets à 5 000 € et inclus dans les projets d'un montant supérieur.
Quelle méthodologie suivez-vous ?
Le Web Application Penetration Test s'appuie sur les lignes directrices OWASP pour la sécurité des applications web et sur PTES comme références techniques. Le périmètre, la modalité de test et l'effort sont définis dans la proposition pour chaque application.
Donnez forme à vos priorités de sécurité avec une proposition sur mesure