Un hacker éthique pour éprouver le réseau de l’entreprise

Intrusions manuelles et automatisées

Afin d’éprouver au mieux la sécurité de l’entreprise, la red team passera par différentes intrusions.

Les intrusions manuelles sont longues (plusieurs semaines parfois) et plus coûteuses que les automatisées. Ces dernières permettent un coût réduit car prennent moins de temps. Elles peuvent également être lancées à toutes heures du jour et de la nuit puisqu’elles ne sont pas conditionnées par les horaires de travail de l’entreprise. Elles sont aussi efficaces qu’une intrusion par un hacker, et ne sont donc pas à exécuter par une personne non formée. Cela pourrait causer davantage de dommages que les bénéfices espérés. De plus elles ne sont pas aussi flexibles qu’un véritable hacker et ne peuvent substituer à un test manuel complet.

Etapes d’une intrusion

Des études ont permis de voir que les black hats agissent selon des étapes bien définies, une red team agira donc selon les mêmes procédés. Pour mieux pouvoir prévenir les attaques et tester la sécurité, il faut agir comme un vrai hacker le ferait. Préparer une intrusion est donc important, cela permet d’organiser et d’optimiser les étapes suivantes selon les résultats obtenus lors des opérations précédentes. Voici donc une vue globale des différentes étapes, elles peuvent varier en nombre et en nom selon les méthodologies utilisées mais on les retrouvera dans tous les cas.

Reconnaissance

Durant la reconnaissance, le hacker récoltera un maximum d’informations sur les cibles. Cela peut passer par connaître les personnes, le matériel, le réseau et parfois même des tiers. Ces informations pourront permettre de repérer des failles potentielles et donc de cibler par où commencer l’attaque.

Pour obtenir ces informations, il est possible de n’avoir aucun contact avec la cible et de ne passer par exemple que par de la recherche sur internet, il s’agit de reconnaissance passive. Les réseaux sociaux sont notamment une mine d’informations très importante, tout comme les archives publiques ou bien la presse.

Mais parfois le hackeur ira en reconnaissance active, il ira directement poser des questions aux employés ou pourra également analyser le réseau via des outils non intrusifs.

Analyse

Il s’agira de reconnaître la totalité du réseau et de ce qui le compose, ce sera donc la phase de pré-attaque. Plusieurs outils permettent cette analyse comme par exemple des mappeurs réseau ou des scanners de ports et de vulnérabilités. Le but est de trouver par quelle porte on pourra passer pour entrer dans le réseau et connaître également les outils que l’entreprise aura développés afin de détecter les intrusions. Cela permettra de pouvoir « s’évader » en toute discrétion lors de l’attaque effective.

Obtention d’accès et exploitation

Cette étape est celle où le hacker arrive à accéder à un système ou une application et obtient un maximum d’informations dans la mesure du possible. Pour en arriver là il aura obtenu des mots de passes et trouvé des failles et à ce stade il pourrait déjà compromettre les systèmes du réseau sans même passer par un compte administrateur.

Maintien des accès

Afin de pouvoir récupérer des données à n’importe quel moment, il faut garder le contrôle du système. Pour ce faire, le hacker installera différents outils comme des chevaux de Troie ou encore des rootkits. Il pourra également utiliser des outils qui permettent d’effacer l’historique donc ses traces, ou bien il le fera manuellement.

A ce stade il aura un accès en permanence aux applications et pourra donc y télécharger des données ou les modifier quand il le souhaite et toujours à distance. Comme ces outils sont furtifs, il sera presque impossible pour les utilisateurs ou les administrateurs réseau de remarquer la présence du hacker. Il pourra également utiliser les systèmes précédemment hackés pour lancer des attaques sur d’autres réseaux.

Rester dans l’ombre

La dernière chose que souhaite un hacker c’est se faire repérer, il fera donc en sorte de cacher toutes ses traces en permanence. Il s’assurera que tous les outils et logiciels malveillants installés ne soient pas visibles par les antivirus ou les administrateurs et veillera à ce qu’il n’y ait aucune trace de son passage dans les historiques.

Afin de rester caché il optimisera aussi ses techniques d’évasion entre autres via l’espionnage d’adresses IP ; il fera en sorte de les rediriger vers de fausses pistes