30 jours de garantie

Ingénierie sociale et simulations Red Team: prestations réalisées par des experts certifiés

Entrez en contact maintenant

 

L'un de nos clients satisfaits

Plus d'infos
Enregistrez vos noms de domaine
  • Transfert de noms de domaine en masse
  • Enregistrez plus de 200 extensions de domaines
  • Gestion gratuite des DNS
  • Meilleures périodes de grâce et de rédemption du secteur
  • Pas de coûts cachés
  • 300x200

    Ingénierie sociale

    L'ingénierie sociale fait référence à la manipulation psychologique des personnes dans l'exécution d'actions ayant un impact sur la sécurité de vos environnements.

    En savoir plus

  • 300x200

    Simulation Red Team

    Les missions Red Team consistent en la mise en place de tactiques d'attaques réelles et efficaces appliquées à votre infrastructure.


    En savoir plus

Découvrez nos prestations :

Ingénierie sociale

Qu'est-ce qu'un test d'ingénierie sociale ?

Nous avons la possibilité de réaliser des campagnes d’ingénierie sociale de plusieurs types :

  • Récupération d’informations depuis des sources publiques (adresses, noms, fonctions de collaborateurs)
  • Appels téléphoniques ciblés en utilisant divers prétextes afin de soutirer de l’information ou faire effectuer des manipulations informatiques
  • Scénario de spear phishing basé sur une campagne d’emailing et l’utilisation d’une infrastructure dédiée
  • Intrusion physique, élaborée à partir de différents scénarios réalistes

Ces tests ont pour but d’impliquer vos collaborateurs dans la protection de votre patrimoine, mais aussi de les sensibiliser aux menaces telles que le phishing par email ou par téléphone.

Ils permettent également de mesurer les risques liés à votre système d'information :

    • Risques de fuites d'informations confidentielles
    • Risques d'intrusion dans votre infrastructure
    • Présence de failles organisationnelles privilégiant certains scénarios d’attaques

En plus de tester la sensibilisation de vos collaborateurs, vos infrastructures physiques et informatiques sont mises à l’épreuve puisque nous tentons d’effectuer l’approche la plus réaliste possible.


Méthodologie et approche


Schema test intrusion interne

La méthodologie d’une prestation d’ingénierie sociale varie en fonction des scénarios choisis. Cependant, le cas d’école correspondra au schéma suivant : phase de reconnaissance suivie d’une phase active ciblant vos employés puis d’une phase intrusive utilisant les informations ou accès récupérés pour compromettre le système d’information.

  • Phase passive : Recherche et analyse des informations publiques. Utilisation de toutes les ressources disponibles.
  • Phase active : Appels téléphoniques, emails de phishing ou spear phishing et récupération des données, création de "waterholes" ciblés pour attirer les utilisateurs.
  • Phase intrusive : Intrusion physique ou intrusion logique basée sur les accès obtenus pendant la phase active.

Le but de cette phase est d’obtenir un maximum d’informations sur votre organisme à partir de sources publiques : réseaux sociaux, moteurs de recherche, forum ou encore sites informatifs.

Ces informations, parfois confidentielles, permettront d’affiner notre approche pour les prochaines phases :

  • Fonctions clés, organigramme
  • Mots de passe, clés de chiffrement
  • Informations techniques : technologies ou noms de projets internes

La simulation d’intrusion physique comprend l'utilisation de différents prétextes pour entrer dans les locaux ciblés. Le scénario le plus simple est souvent le plus réussi : suivre les collaborateurs à travers les SAS de sécurité par exemple.

Avant de commencer cette phase, nous définissons avec vous un objectif : atteindre la salle serveur, le bureau d'un directeur, etc. Cela permettra d’évaluer le succès de ce scénario, mais aussi de savoir quel impact pourrait avoir cette intrusion et jusqu’où pourrait aller un attaquant : extraction de données, accès illégitime à un poste de travail, etc.

Deux approches sont envisageables dans le cas d’une campagne de phishing, ciblant les utilisateurs à partir d’un contact par email :

  • Nous construisons un faux site aussi appelé « point d’eau » et lançons une campagne d’emailing incitant vos employés à visiter celui-ci. Ce site réplique en tous points un site existant utilisé régulièrement par le personnel (par exemple une application de gestion des ressources humaines) à la différence près qu’il enregistre le couple identifiant / mot de passe et le transmet à l’attaquant.
  • Cela résulte en un vol d’identifiants permettant, par exemple, l’accès aux données liées à votre Active Directory.
  • Un email contenant une pièce jointe malveillante est envoyé, dans le but que celle-ci soit exécutée par la victime. Une fois le fichier exécuté et si les conditions le permettent, nous sommes en mesure de prendre le contrôle à distance du poste de la victime et ainsi d’avoir accès aux ressources internes de la société.

Une liste de destinataires pour la campagne est généralement requise, même si la recherche d’information à partir de sources ouvertes peut permettre également la récupération d’une liste d’emails pertinente.



Schema test intrusion interne


Simulations Red Team

Qu'est-ce qu'une simulation Red Team ?

Les missions Red Team consistent en la mise en place de tactiques d'attaques réelles et efficaces appliquées à votre infrastructure.

  • La simulation d'attaque la plus réaliste

C'est un exercice grandeur nature qui vise à trouver un moyen d'infiltrer votre réseau interne afin d'en extraire des données réelles, ce qui évite toute détection.

  • Une approche adaptable

Le but de ce service est d’évaluer l'efficacité des défenses de votre organisation contre une attaque réelle, mais aussi de tester la sécurité à plusieurs niveaux de votre organisation. Les tests seront effectués à distance, mais peuvent également être effectués à partir de vos locaux.

  • Attaque de la surface externe

Chaque surface exposée et connectée à vos infrastructures internes fait l’objet d’une tentative d’intrusion, en utilisant des données extraites de source ouverte (OSINT).

  • Campagne de phishing

Approche visant vos employés afin d’obtenir un point d’ancrage sur votre réseau.

  • Intrusion physique

Dépôt d’un boîtier autonome permettant un pont entre votre réseau interne et le réseau attaquant, , suite à une intrusion physique par exemple.

  • Intrusion à partir du réseau sans-fil

Tous les points d’accès Wifi sont un point d’entrée potentiel vers vos réseaux internes.



Nos livrables détaillés et complets

A la fin du test, nous vous fournissons un rapport complet comprenant les résultats détaillés des tests effectués ainsi que des solutions adaptées et compréhensibles pour tous les départements de votre entreprise (management, administration, informatique…).

 

Livrable_testd'intrusionSSL247


Ces prestations peuvent aussi vous intéresser :


Pourquoi choisir SSL247® ?

SSL247® a plus de 12 ans d'expérience et d'expertise dans l'industrie de la sécurité web et possède de nombreuses accréditations telles que le EMEA Symantec Champion Award 2017 et la certification ISO 27001:2013.


Contactez-nous

Pour plus d'informations sur les bénéfices d'un test d'intrusion pour votre entreprise, n'hésitez pas à contacter l'un de nos consultants accrédités pour une discussion sans aucun engagement :

null  03 66 72 95 95 
null  sales@ssl247.fr 

Symantec

Le sceau Norton Secured Site est vu plus d'un demi milliard de fois par jour sur plus de 100 000 sites web répartis dans 170 pays, sur les résultats de recherche de certains navigateurs ainsi que sur les sites d'e-commerce partenaires. Quand les internautes voient le sceau de confiance Norton Secured Seal, ils sont moins enclins à abandonner leur transaction et plus favorables à commercer avec vous.

Certificats SSL

Nos partenariats
Nos accréditations
Notre sceau de confiance
Plan du site | Cookies | Légal
© 2017 . Tous droits réservés. SSL247 SARL est enregistrée au Registre du Commerce de Roubaix-Tourcoing - RCS 508308 079. | Tél : 03 66 72 95 95

Cookies SSL247® utilise des cookies pour vous fournir une expérience utilisateur transparente. Pour plus d'informations, veuillez lire nos Mentions Légales. Continuer