Audit de sécurité et Recommandations
Pourquoi réaliser un audit de sécurité ?
L’objectif de l’audit de sécurité est généralement de mesurer le niveau de sécurité à un instant T :
- Audit de sécurité du site vitrine
- Audit de sécurité du système d’information
- Audit de la robustesse d’un poste utilisateur
- Audit du niveau de sécurité du réseau Wifi
- Audit de la bonne configuration des équipements
- Audit RGPD
L’audit de sécurité permet donc :
- d'identifier les points à améliorer au niveau du système
- d'anticiper un incident
- de valider que les solutions techniques déployées sécurisent correctement le système d’information
- de valider la bonne configuration d’équipements ou de solutions
- de valider une conformité (RGPD)
L’audit peut être complet au niveau du SI ou focalisé sur un risque identifié.
Pourquoi Certilience est-il expert dans l’audit de sécurité ?
Les spécificités Certilience, des distinctions qui font toute la différence :
- Certilience déroule des audits de sécurité depuis plus de 10 ans
- Certilience déroule plus de 600 jours d’audits par an
- Nos auditeurs sont certifiés CEH (Certified Ethical Hacker)
- Certains de nos auditeurs sont certifiés sur des outils d’analyse de vulnérabilités
- Nous publions régulièrement de travaux de recherches en sécurité (déclaration de vulnérabilités, références CVE, article sur la sécurité, conférences)
- Nous participons régulièrement à des évènements de sécurités (SSTIC, Hack in Paris, des CTF)
- Utilisation de nos propres outils d’analyse et de test, utilisation d’outils de référence sur le marché.
Dans le cadre de ses missions d’audits, Certilience peut s’appuyer sur des méthodologies ou des standards reconnus :
- OWASP TOP10
- OSSTMM
- Audit de configuration CIS
- Questionnaire PCI DSS
Nous pouvons également adapter notre méthodologie à un standard interne au client.
Nos audits standards
Tests d'Intrusion
- test d’intrusion externe
- test d’intrusion interne
- scénario "personnel malveillant"
- test Wifi
- Social Engineering
Audits d'Applications
- application Web
- client lourd
- application mobile (Android, Ios, etc.)
- ...
Audits de Configuration
Système
- Linux, Windows, AS400, etc.
- base de données MySQL, PostGresql, Mssql, etc.
Firewall et équipements réseau
- Checkpoint, Fortinet, Palo Alto, Stormshield, etc.
Antivirus
- McAfee, Eset, Sophos, etc.
Applicatifs
- Apache, Tomcat, Jboss, Squid, etc.
Réseau
Nous consulter
Audits d'Architecture
Audits de Code
- PHP, Java, etc.
Audits Cloud
- audit tenant office 365
- audit infrastructure OVH (IAAS, serveur dédié, Web)
- Audit Amazon/AWS
Pourquoi des recommandations ?
Un audit de sécurité c’est bien, mais il y a généralement un objectif de correction derrière.
L’audit fait généralement ressortir des points à améliorer, Certilience disposant de compétences en intégration, nous proposons systématiquement des recommandations.
Nous proposons des recommandations personnalisées à nos clients. Elles concernent généralement les thèmes suivants :
Recommandations sur l’aspect Réseau
- Refonte du plan d’adressage
- Redéfinition de la segmentation réseau :
- Refonte du plan d’adressage
- Isolation de certains serveurs
- Redéfinition de la matrice de filtrage entre les réseaux
- Mise à jour de firmware d’équipements réseau
- Mise à jour de firewall
- Mauvaise configuration Wifi
Recommandations au niveau du système d’exploitation
- Utilisation de système d’exploitation obsolète
- Défaillance au niveau de la mise à jour du système d’exploitation
- Erreur de configuration des serveurs :
- erreur au niveau de la GPO
- non-respect des bonnes pratiques de l’ANSSI ou CIS
- Chiffrement des disques des serveurs ou des postes nomades
- Mise en œuvre de solution de DLP sur les postes utilisateurs
- Mise en œuvre d’une solution de test d’intégrité sur les postes (surveillance des changements des fichiers)
Recommandations sur la configuration logicielle
- Produit installé sans modification des paramètres par défaut :
- Mot de passe simple (admin/admin ou publié dans le dictionnaire)
- Erreurs permissions
Recommandations sur un développement spécifique
- Reprise des vulnérabilités sur les non-conformités OWASP TOP 10
- Mise à jour des librairies
Recommandations pour vos utilisateurs
- Sensibilisation des utilisateurs
- Durcissement des mots de passe des utilisateurs
La première étape est généralement de bien qualifier votre besoin.
N’hésitez pas à nous contacter pour que nous puissions échanger ensemble.