Services de sécurité offensive

Vous ne pouvez pas sécuriser ce dont vous ignorez l'existence. La cartographie de la surface d'attaque identifie chaque actif exposé sur internet lié à votre organisation, y compris ceux dont le service informatique ignore l'existence, avant qu'un attaquant ne les trouve.

Evaluris construit un inventaire continuellement mis à jour de votre empreinte externe : domaines, sous-domaines, actifs cloud, services exposés, shadow IT et infrastructures oubliées de projets décommissionnés ou d'activités de fusions-acquisitions. Disponible sous forme d'évaluation ponctuelle ou de couverture continue via SPECTER, pour maintenir votre inventaire d'actifs à jour entre les missions planifiées.

Tous les actifs ne nécessitent pas un test d'intrusion complet dès le premier jour. L'évaluation des vulnérabilités vous offre une visibilité large et priorisée sur l'ensemble de votre environnement, réseau, systèmes et applications, afin de savoir où se situe l'exposition réelle avant de consacrer des heures de test aux cibles à plus forte valeur.

Evaluris combine des scans authentifiés et non authentifiés avec une validation manuelle pour éliminer les faux positifs, puis priorise les constats selon l'exploitabilité réelle et l'impact métier, et non selon le score CVSS brut. Livré sous forme de mission ponctuelle ou selon une cadence récurrente alignée sur les scans trimestriels PCI DSS et d'autres exigences de cadre.

Votre couche applicative est la surface la plus systématiquement ciblée dans les attaques modernes. Evaluris réalise des tests d'intrusion manuels sur les applications web, les applications mobiles, les API REST et GraphQL, et les plateformes client lourd, allant bien au-delà de ce que les scanners automatisés sont capables de détecter.

Les tests suivent la méthodologie OWASP Web Security Testing Guide (WSTG), avec des flux de travail fondés sur des hypothèses et validés par l'opérateur. Chaque constat est confirmé comme exploitable avant d'être intégré au rapport, avec un contexte complet d'impact métier et des recommandations de remédiation priorisées.

Un attaquant n'a pas besoin d'être à l'intérieur de votre réseau pour compromettre votre organisation. Le test d'intrusion réseau externe évalue votre surface d'attaque exposée sur internet du point de vue d'un acteur de la menace externe, sans connaissance préalable, sans accès interne et sans hypothèse.

Evaluris cartographie votre empreinte externe, identifie les points d'entrée exploitables à travers les actifs cloud, les services d'accès distant, l'infrastructure de messagerie et les applications publiques, et tente d'établir des têtes de pont démontrant un potentiel de compromission réel.

La question n'est plus de savoir si un attaquant pénétrera votre réseau, mais ce qu'il pourra atteindre une fois à l'intérieur. Le test d'intrusion réseau interne s'appuie sur une méthodologie d'hypothèse de compromission pour répondre à cette question avec précision.

Partant d'une position interne authentifiée, les opérateurs Evaluris cartographient les chemins de déplacement latéral, identifient les voies d'escalade de privilèges et recherchent l'accès aux données sensibles à travers votre infrastructure d'entreprise. Les constats sont documentés selon la chaîne d'attaque MITRE ATT&CK, avec des recommandations de remédiation associées à chaque technique.

Active Directory est le socle de l'identité d'entreprise, et la cible principale de chaque acteur de la menace persistante avancée opérant aujourd'hui. Une seule erreur de configuration peut faire la différence entre un incident contenu et une compromission totale du domaine.

Evaluris exécute les mêmes techniques utilisées par les groupes APT réels : Kerberoasting, AS-REP roasting, DCSync, Pass-the-Hash, Pass-the-Ticket, abus d'ACL et exploitation des relations de confiance. La mission cartographie le chemin complet entre le point d'ancrage initial et l'administrateur de domaine, identifiant chaque étape exploitable en cours de route.

Les environnements cloud ne sont pas intrinsèquement sécurisés par défaut. Les buckets de stockage mal configurés, les rôles IAM trop permissifs, les clés API exposées, les pipelines DevOps non sécurisés et les chemins de déplacement latéral via les services cloud natifs sont les conditions sur lesquelles les attaquants s'appuient, et que les listes de contrôle de conformité manquent systématiquement.

Evaluris évalue votre posture cloud du point de vue d'un attaquant sur les environnements AWS et Azure, identifiant les chaînes d'erreurs de configuration, les chemins d'escalade de privilèges et les scénarios de compromission inter-comptes qui représentent un risque métier réel.

Les systèmes de contrôle industriel n'ont pas été conçus en tenant compte des adversaires. Les plateformes SCADA, les automates programmables (PLC), les serveurs d'historisation et les architectures réseau OT contiennent des vulnérabilités que les scanners automatisés ne peuvent pas atteindre et que les testeurs d'intrusion généralistes ne sont pas qualifiés pour évaluer en toute sécurité.

Evaluris apporte une expertise spécialisée en sécurité offensive aux environnements de technologie opérationnelle, y compris les systèmes SCADA, les automates Siemens S7 et Allen-Bradley, les piles de protocoles Modbus/DNP3/IEC 61850, et les frontières de convergence OT/IT. Toutes les missions sont conduites selon des protocoles de zéro perturbation conçus pour les environnements industriels en production où la disponibilité est non négociable.

L'environnement le plus techniquement durci peut être compromis par un seul courriel bien conçu, un appel téléphonique convaincant ou un visiteur non accompagné dans une salle serveur. Les tests d'ingénierie sociale évaluent la couche humaine de votre programme de sécurité, les contrôles qu'aucune règle de pare-feu ne peut imposer.

Evaluris conçoit et exécute des campagnes de phishing, des opérations de vishing et des scénarios d'intrusion physique adaptés au profil, au secteur et au paysage de menaces de votre organisation. Les constats sont rapportés avec un récit d'attaque complet, une analyse de la réponse des collaborateurs et des recommandations pour améliorer le programme de sensibilisation à la sécurité.

Une mission de red teaming est le test le plus fidèle de la capacité de votre organisation à détecter, répondre et contenir un acteur de la menace réel. Ce n'est pas un test d'intrusion. L'objectif n'est pas d'énumérer les vulnérabilités, mais d'atteindre des objectifs de mission convenus par la furtivité, la persistance et l'évasion avancée, tandis que votre équipe défensive opère dans des conditions normales, sans avertissement préalable.

Les opérateurs de red team Evaluris utilisent les mêmes tactiques, techniques et procédures employées par les acteurs de la menace persistante avancée les plus susceptibles de cibler votre secteur. Les missions sont conduites sous une sécurité opérationnelle stricte, en s'appuyant sur des outils sur mesure, des techniques living-off-the-land et des méthodes d'évasion conçues pour déjouer les plateformes EDR, SIEM et d'analyse comportementale modernes.

Le livrable n'est pas une liste de vulnérabilités. C'est un récit d'attaque complet : un compte rendu documenté de bout en bout expliquant comment votre organisation a été compromise, ce que vos défenses n'ont pas détecté, et quels changements dans votre programme de sécurité auraient changé l'issue.

Le red teaming identifie les lacunes. Le purple teaming les comble, plus rapidement, avec un transfert direct de connaissances à l'équipe qui doit défendre votre environnement au quotidien.

Les missions de purple teaming exécutent des scénarios d'attaque d'adversaire alignés sur le cadre MITRE ATT&CK et les objectifs métier spécifiques de votre organisation, en collaboration directe avec votre blue team. Contrairement au red teaming, l'équipe défensive est impliquée tout au long de la mission, validant les détections en temps réel, ajustant la logique d'alerte face à l'activité d'attaque en direct, et développant les automatismes opérationnels nécessaires pour répondre efficacement lorsque l'attaque réelle survient.

Le livrable est une amélioration mesurable de la couverture de détection, documentée pour chaque technique MITRE ATT&CK testée, et non un rapport classé puis oublié.

Les régulateurs à travers l'UE, le CCG et l'Afrique exigent désormais que les institutions financières critiques conduisent des tests d'intrusion fondés sur du renseignement réel sur les menaces, et non sur une méthodologie générique. DORA Article 26, TIBER-EU et les cadres équivalents du CBUAE, SAMA, VARA, CBK et CBB exigent des missions TLPT documentées conduites par des testeurs indépendants certifiés répondant à des normes de compétence définies.

Les missions TLPT Evaluris sont construites à partir d'un profil de renseignement sur les menaces adapté à votre organisation, identifiant les acteurs de la menace, campagnes et TTP les plus susceptibles de cibler votre secteur, votre géographie et votre pile technologique. Les scénarios d'attaque sont élaborés à partir de cette base de renseignement, produisant une mission directement pertinente par rapport à votre exposition réelle au risque plutôt qu'une suite de tests standardisée.

Chaque mission produit le dossier de preuves complet requis pour la soumission réglementaire : rapport de renseignement sur les menaces, documentation de l'exécution du test, récit des constats et registre des preuves de remédiation aligné sur la norme du cadre applicable.

Les missions de red team ponctuelles fournissent un instantané. Votre surface d'attaque, elle, ne reste pas immobile.

Le service de Red Team managé Evaluris assure une simulation d'adversaire continue via des sprints de test mensuels structurés, un accès dédié aux opérateurs et un cycle de constats glissant qui suit le rythme de votre infrastructure en constante évolution et des menaces émergentes. Les organisations utilisent ce modèle pour créer ou renforcer une capacité de red team interne, valider l'efficacité des remédiations et maintenir une visibilité continue sur leur véritable posture de sécurité, pas uniquement au moment des évaluations.

Les cycles de reporting mensuels vous donnent un contrôle total pour recadrer les objectifs, retester les constats précédemment identifiés après remédiation, et suivre les améliorations mesurables de votre programme de sécurité au fil du temps.

Particulièrement adapté aux : institutions financières, entreprises régulées et organisations dotées de programmes de sécurité matures recherchant une validation continue plutôt qu'une évaluation ponctuelle périodique.