Audit de code
L’audit de code est à notre sens le corollaire du test d’intrusion applicatif. Cet audit permet généralement d’approfondir efficacement le test d’intrusion applicatif. Dans le cas d’un site internet sur lequel un audit a été réalisé, l’audit de code permettra de mieux comprendre les mauvais cheminements, de proposer des patchs plus précis, mais aussi d’évaluer la sécurité globale de l’application, chose impossible lorsque nous nous plaçons uniquement dans la peau d’un attaquant.
Ceci dit, il est important de préciser que le test applicatif se suffit à lui même pour auditer une application. L’audit de code met généralement l’accent sur des vulnérabilités difficilement exploitable sans avoir lu les sources de l'application, il vous garantit donc une sécurité accrue.
Audit de sécurité
L’audit de sécurité se différencie du test d'intrusion interne dans la mesure où le client nous fourni les politiques en place à auditer: nous ne sommes pas dans une démarche active comme lors d'un test d'intrusion. Nous évaluons donc (au choix et non exhaustif):
- La politique de sécurité globale
- La politique d'accès aux données
- Les configurations réseau (Firewall, HIDS, NIDS, WAFs)
- Les mises à jours des services
- Les mises à jour des systèmes d'exploitation (et la politique de mise à jour du parc)
- La politique de sauvegarde et de stockage
- ...
L'audit de sécurité est à envisager comme une validation externe de la politique de RSSI, elle englobe les risques et la connaissance des problématiques métiers alors que le test d'intrusion évalue l'intrusion. L'audit de sécurité permet également d'enrayer l'intrusion au plus tôt.
Veille en vulnérabilités
Si votre structure possède déjà un pôle informatique aguerri et sensible à la sécurité informatique, et si vous souhaitez externaliser votre veille en matière de et de découverte de vulnérabilités; nous vous proposons un service qui vous permettra d’être tenu au courant en cas de découverte de failles. Concrètement, vous accédez à l’interface, choisissez vos produits, technologies, langages, services, et dès lors qu’une faille est découverte sur l’un de ces vecteurs d’intrusions, notre système vous alerte et vous propose le cas échéant un correctif de faille. Ce service de veille intègre en son sein les découvertes de nos chercheurs en sécurité.
Nous effectuons également des audits de code en interne sur les solutions open-source les plus répandues au monde (statistiques, forums, blogs, ecommerce, etc…) afin d’intégrer dans notre outil de veille les failles découvertes par nos chercheurs.