-
Ingénierie sociale
L'ingénierie sociale fait référence à la manipulation psychologique des personnes dans l'exécution d'actions ayant un impact sur la sécurité de vos environnements.
-
Simulation Red Team
Les missions Red Team consistent en la mise en place de tactiques d'attaques réelles et efficaces appliquées à votre infrastructure.
Découvrez nos prestations :
Ingénierie sociale
Qu'est-ce qu'un test d'ingénierie sociale ?
Nous avons la possibilité de réaliser des campagnes d’ingénierie sociale de plusieurs types :
- Récupération d’informations depuis des sources publiques (adresses, noms, fonctions de collaborateurs)
- Appels téléphoniques ciblés en utilisant divers prétextes afin de soutirer de l’information ou faire effectuer des manipulations informatiques
- Scénario de spear phishing basé sur une campagne d’emailing et l’utilisation d’une infrastructure dédiée
- Intrusion physique, élaborée à partir de différents scénarios réalistes
Ces tests ont pour but d’impliquer vos collaborateurs dans la protection de votre patrimoine, mais aussi de les sensibiliser aux menaces telles que le phishing par email ou par téléphone.
Ils permettent également de mesurer les risques liés à votre système d'information :
- Risques de fuites d'informations confidentielles
- Risques d'intrusion dans votre infrastructure
- Présence de failles organisationnelles privilégiant certains scénarios d’attaques
En plus de tester la sensibilisation de vos collaborateurs, vos infrastructures physiques et informatiques sont mises à l’épreuve puisque nous tentons d’effectuer l’approche la plus réaliste possible.
Méthodologie et approche
La méthodologie d’une prestation d’ingénierie sociale varie en fonction des scénarios choisis. Cependant, le cas d’école correspondra au schéma suivant : phase de reconnaissance suivie d’une phase active ciblant vos employés puis d’une phase intrusive utilisant les informations ou accès récupérés pour compromettre le système d’information.
- Phase passive : Recherche et analyse des informations publiques. Utilisation de toutes les ressources disponibles.
- Phase active : Appels téléphoniques, emails de phishing ou spear phishing et récupération des données, création de "waterholes" ciblés pour attirer les utilisateurs.
- Phase intrusive : Intrusion physique ou intrusion logique basée sur les accès obtenus pendant la phase active.
Le but de cette phase est d’obtenir un maximum d’informations sur votre organisme à partir de sources publiques : réseaux sociaux, moteurs de recherche, forum ou encore sites informatifs.
Ces informations, parfois confidentielles, permettront d’affiner notre approche pour les prochaines phases :
- Fonctions clés, organigramme
- Mots de passe, clés de chiffrement
- Informations techniques : technologies ou noms de projets internes
La simulation d’intrusion physique comprend l'utilisation de différents prétextes pour entrer dans les locaux ciblés. Le scénario le plus simple est souvent le plus réussi : suivre les collaborateurs à travers les SAS de sécurité par exemple.
Avant de commencer cette phase, nous définissons avec vous un objectif : atteindre la salle serveur, le bureau d'un directeur, etc. Cela permettra d’évaluer le succès de ce scénario, mais aussi de savoir quel impact pourrait avoir cette intrusion et jusqu’où pourrait aller un attaquant : extraction de données, accès illégitime à un poste de travail, etc.
Deux approches sont envisageables dans le cas d’une campagne de phishing, ciblant les utilisateurs à partir d’un contact par email :
- Nous construisons un faux site aussi appelé « point d’eau » et lançons une campagne d’emailing incitant vos employés à visiter celui-ci. Ce site réplique en tous points un site existant utilisé régulièrement par le personnel (par exemple une application de gestion des ressources humaines) à la différence près qu’il enregistre le couple identifiant / mot de passe et le transmet à l’attaquant.
- Cela résulte en un vol d’identifiants permettant, par exemple, l’accès aux données liées à votre Active Directory.
- Un email contenant une pièce jointe malveillante est envoyé, dans le but que celle-ci soit exécutée par la victime. Une fois le fichier exécuté et si les conditions le permettent, nous sommes en mesure de prendre le contrôle à distance du poste de la victime et ainsi d’avoir accès aux ressources internes de la société.
Une liste de destinataires pour la campagne est généralement requise, même si la recherche d’information à partir de sources ouvertes peut permettre également la récupération d’une liste d’emails pertinente.
Simulations Red Team
Qu'est-ce qu'une simulation Red Team ?
Les missions Red Team consistent en la mise en place de tactiques d'attaques réelles et efficaces appliquées à votre infrastructure.
- La simulation d'attaque la plus réaliste
C'est un exercice grandeur nature qui vise à trouver un moyen d'infiltrer votre réseau interne afin d'en extraire des données réelles, ce qui évite toute détection.
- Une approche adaptable
Le but de ce service est d’évaluer l'efficacité des défenses de votre organisation contre une attaque réelle, mais aussi de tester la sécurité à plusieurs niveaux de votre organisation. Les tests seront effectués à distance, mais peuvent également être effectués à partir de vos locaux.
- Attaque de la surface externe
Chaque surface exposée et connectée à vos infrastructures internes fait l’objet d’une tentative d’intrusion, en utilisant des données extraites de source ouverte (OSINT).
- Campagne de phishing
Approche visant vos employés afin d’obtenir un point d’ancrage sur votre réseau.
- Intrusion physique
Dépôt d’un boîtier autonome permettant un pont entre votre réseau interne et le réseau attaquant, , suite à une intrusion physique par exemple.
- Intrusion à partir du réseau sans-fil
Tous les points d’accès Wifi sont un point d’entrée potentiel vers vos réseaux internes.
Nos livrables détaillés et complets
|
A la fin du test, nous vous fournissons un rapport complet comprenant les résultats détaillés des tests effectués ainsi que des solutions adaptées et compréhensibles pour tous les départements de votre entreprise (management, administration, informatique…). |
|
Ces prestations peuvent aussi vous intéresser :
Pourquoi choisir SSL247® ?
SSL247® a plus de 12 ans d'expérience et d'expertise dans l'industrie de la sécurité web et possède de nombreuses accréditations telles que le EMEA Symantec Champion Award 2017 et la certification ISO 27001:2013.
Contactez-nous
Pour plus d'informations sur les bénéfices d'un test d'intrusion pour votre entreprise, n'hésitez pas à contacter l'un de nos consultants accrédités pour une discussion sans aucun engagement :
03 66 72 95 95
sales@ssl247.fr