Qu’est-ce qu’un attaquant peut faire une fois dans votre SI après une intrusion interne ?

Les entreprises consacrent une part importante de leurs efforts de cybersécurité à empêcher une intrusion interne. Pare-feu, EDR, filtrage des emails, authentification multifacteur et sécurisation des accès distants constituent autant de barrières indispensables pour empêcher les attaquants d’entrer dans leur système d’information.

Toutefois, aucune de ces protections ne garantit qu’un premier accès ne sera jamais obtenu. Un phishing réussi, un compte VPN compromis, un poste volé ou un équipement insuffisamment sécurisé peuvent suffire à placer un attaquant à l’intérieur du réseau. La question n’est alors plus seulement de savoir comment il est entré, mais jusqu’où il peut progresser.

Dans ce contexte, l’intrusion interne devient un scénario essentiel à tester. C’est précisément ce que cherche à mesurer un pentest de réseau interne : le pentester se place dans la situation d’un attaquant disposant déjà d’un accès limité au système d’information. Il tente ensuite d’identifier les ressources accessibles, de récupérer de nouveaux droits et de progresser vers les systèmes les plus sensibles.

L’objectif n’est pas seulement de détecter des vulnérabilités isolées. Il s’agit de vérifier si plusieurs faiblesses peuvent être combinées jusqu’à transformer la compromission d’un poste en incident affectant une part importante de l’entreprise.

Qu’est-ce qu’un pentest de réseau interne ?

Image by magnific

Un pentest interne est un test d’intrusion réalisé depuis le réseau local de l’entreprise ou depuis un accès permettant de le rejoindre, comme un poste utilisateur ou une connexion VPN. Le scénario repose sur une hypothèse réaliste : l’attaquant a déjà franchi la première barrière.

Le consultant démarre généralement avec des droits limités, proches de ceux d’un collaborateur standard. À partir de cette position, il cherche à déterminer quels équipements sont visibles, quels services sont accessibles et quelles informations pourraient lui permettre d’obtenir davantage de privilèges.

Le test permet par exemple de vérifier si la compromission d’un poste reste contenue, car un ordinateur pour la bureautique ne devrait pas pouvoir communiquer librement avec des serveurs de sauvegarde, des consoles d’administration ou des environnements critiques. La résistance du réseau interne dépend alors de plusieurs éléments : la segmentation, la gestion des droits, le durcissement des postes, la mise à jour des systèmes, la protection des comptes et la capacité à détecter les comportements inhabituels.

En résumé, le test confronte ces mécanismes à un scénario concret. Il ne vérifie pas uniquement si les règles de sécurité existent, mais si elles limitent réellement la progression d’un attaquant.

Comment un attaquant progresse-t-il après une intrusion interne ?

Une intrusion interne ne conduit pas immédiatement à la prise de contrôle du système d’information. L’attaquant doit d’abord comprendre son environnement, trouver de nouveaux accès puis progresser vers des ressources plus sensibles.

Cartographier le réseau et identifier les premières cibles

La première étape consiste généralement à observer le réseau. L’attaquant cherche à identifier les machines actives, les serveurs accessibles, les services utilisés et les éventuelles interfaces d’administration. Cette phase de reconnaissance peut révéler des équipements anciens, des environnements insuffisamment cloisonnés ou des systèmes qui ne devraient pas être visibles depuis un poste utilisateur. Elle permet également de repérer les ressources susceptibles de contenir des informations utiles : partages de fichiers, outils de déploiement, serveurs applicatifs ou systèmes d’authentification.

Le pentest mesure ici deux choses : les informations accessibles à un utilisateur standard et la capacité des outils de sécurité à détecter une activité de découverte inhabituelle.

Récupérer ou réutiliser des identifiants

Les identifiants constituent ensuite une cible prioritaire. Ils permettent à l’attaquant de ne plus apparaître uniquement comme une machine inconnue, mais comme un utilisateur reconnu par les systèmes internes. Des mots de passe ou des secrets techniques peuvent être présents dans des scripts, des fichiers de configuration, des documents partagés ou des outils internes insuffisamment protégés. Les comptes de service représentent également un risque lorsqu’ils disposent de droits importants et que leurs mots de passe sont rarement renouvelés. La réutilisation des mêmes mots de passe sur plusieurs systèmes facilite encore la progression. La compromission d’un compte apparemment secondaire peut alors donner accès à d’autres applications ou équipements.

L’enjeu n’est donc pas uniquement la complexité des mots de passe. Il concerne aussi le stockage des secrets, la gestion des comptes techniques et la limitation des droits associés à chaque identité.

Se déplacer dans le SI et obtenir davantage de privilèges

Une fois de nouveaux accès obtenus, l’attaquant peut engager un mouvement latéral dans le SI. Il cherche à passer d’un poste ou d’un serveur à un autre en utilisant les identifiants et les droits récupérés.

Cette progression est facilitée lorsque les flux internes sont trop largement ouverts ou que les mêmes comptes disposent d’autorisations sur plusieurs systèmes. L’attaquant cherche parallèlement à élever ses privilèges. Une vulnérabilité non corrigée, un service mal configuré ou des droits accordés trop largement peuvent lui permettre de passer d’un compte standard à un compte administrateur. À mesure que ses privilèges augmentent, il peut se rapprocher des données sensibles, des outils d’administration, des sauvegardes ou des systèmes indispensables au fonctionnement de l’entreprise.

Le risque ne vient donc pas seulement du poste initialement compromis : il dépend surtout des chemins de progression que le système d’information laisse ouverts.

Pourquoi l’Active Directory devient-il une cible centrale ?

Dans de nombreuses entreprises, l’Active Directory occupe une place centrale dans la gestion des identités, des groupes, des postes et des droits d’accès. Sa compromission peut donner à un attaquant une capacité d’action étendue. Il peut chercher à accéder à de nombreux équipements, modifier des comptes, contourner certaines politiques de sécurité ou atteindre des ressources sensibles.

Mais l’attaquant ne vise pas nécessairement directement un contrôleur de domaine. Il peut progresser à travers plusieurs comptes, groupes et relations de confiance avant d’obtenir des privilèges critiques, et un pentest d’Active Directory permet d’analyser ces chemins de privilèges. Il vérifie notamment si un compte standard peut, par plusieurs étapes successives, atteindre des droits d’administration élevés.

Cette approche est importante, car les risques liés à l’Active Directory reposent souvent moins sur une faille unique que sur l’accumulation d’autorisations historiques, de comptes techniques et de configurations devenues trop permissives. Pour l’entreprise, les conséquences peuvent dépasser le seul périmètre informatique. La compromission des mécanismes d’authentification peut faciliter l’accès aux données, perturber les opérations et ralentir considérablement la reprise après incident.

Quelles faiblesses facilitent la progression après compromission ?

Une compromission importante résulte rarement d’une seule vulnérabilité spectaculaire. Elle repose plus souvent sur l’enchaînement de plusieurs faiblesses ordinaires :

• une segmentation insuffisante entre les postes utilisateurs et les serveurs sensibles ;
• des flux internes autorisés plus largement que nécessaire ;
• des mots de passe faibles ou réutilisés ;
• des comptes de service insuffisamment protégés ;
• des systèmes internes dont les correctifs sont en retard ;
• des partages réseau accessibles à trop d’utilisateurs ;
• des droits historiques qui n’ont jamais été réévalués.

Prise séparément, chacune de ces faiblesses peut sembler limitée. Leur combinaison peut pourtant former un chemin d’attaque complet. Un poste compromis peut, par exemple, donner accès à un partage réseau. Celui-ci peut contenir un fichier de configuration révélant un compte technique. Ce compte peut ensuite permettre d’atteindre un serveur plus sensible ou un outil d’administration.

Le pentest interne met précisément en évidence ces dépendances en ne cherchant pas uniquement à déterminer si un système présente une vulnérabilité, mais ce que cette vulnérabilité permet réellement d’atteindre dans l’environnement de l’entreprise.

Ce qu’un pentest interne révèle qu’un scanner ne montre pas

Image by pch.vector

Un scanner de vulnérabilités identifie les versions logicielles obsolètes, les services exposés et certaines failles connues. Il est utile pour suivre régulièrement l’état technique du système d’information.

Cependant, il ne reproduit pas le raisonnement d’un attaquant. Un scanner peut remonter de nombreux constats sans montrer qu’une configuration apparemment secondaire permet de récupérer un identifiant, puis d’accéder à une ressource critique. Le pentester, lui, analyse les liens entre les équipements, les comptes, les droits et les flux réseau. Il vérifie l’exploitabilité réelle des faiblesses et tente de construire un chemin d’attaque cohérent.

Le rapport ne doit donc pas se limiter à une liste de vulnérabilités. Il doit expliquer le point de départ, les étapes de progression, les actifs atteints et les conséquences potentielles, contextualisation qui facilite la priorisation. Une vulnérabilité présentant une criticité technique élevée n’est pas toujours la première à corriger si elle reste difficilement exploitable. À l’inverse, une erreur de configuration moins impressionnante peut nécessiter une action immédiate lorsqu’elle donne accès à un système essentiel.

Pentest interne, pentest externe et audit : quelles différences ?

Les différentes approches de pentest et de test d’intrusion ne répondent pas aux mêmes questions :

• le pentest externe cherche à déterminer ce qu’un attaquant peut réaliser depuis Internet, sans accès préalable. Il s’intéresse notamment aux applications, aux accès distants et aux services publiquement exposés.
• le pentest interne commence après cette première barrière. Il mesure les possibilités de progression depuis un accès déjà présent dans le réseau.
• l’audit de cybersécurité adopte une vision plus large. Il peut examiner l’organisation, la gouvernance, les politiques de sécurité, la gestion des risques et les processus internes.

Ces démarches sont complémentaires. L’audit peut identifier une segmentation insuffisante. Le scanner peut détecter un serveur vulnérable. Le pentest interne démontre comment ces deux faiblesses peuvent être combinées pour atteindre une ressource sensible.

La maturité cyber ne repose donc pas sur le choix d’une seule approche, mais sur leur articulation selon les risques, les actifs à protéger et les objectifs de l’entreprise.

● Notre comparatif entre pentest interne et externe

 

Comment exploiter les résultats du pentest ?

Le pentest n’a de valeur que si ses résultats sont transformés en plan de remédiation. La priorité consiste d’abord à casser les chemins d’attaque démontrés. Cela peut passer par la fermeture d’un flux inutile, la correction d’une vulnérabilité exploitable, la suppression d’un droit excessif ou le renouvellement d’un secret exposé.

Certaines actions peuvent être réalisées rapidement. D’autres nécessitent des évolutions plus structurelles, comme la refonte de la segmentation, l’amélioration de la gestion des comptes privilégiés ou le renforcement de la surveillance du réseau interne.

Rapport de pentest anonymisé Envie de savoir à quoi ressemble un rapport de test d’intrusion ? Découvrez à quoi ressemble un rapport de pentest réalisé par SkillX Recevez notre rapport de pentest anonymisé, simulant un cas client concret, pour voir comment ce type de de prestation peut vous aider dans votre démarche de cybersécurité. Votre adresse mail professionnelle * Consentement * Oui, je suis d'accord avec la politique de confidentialité et les mentions légales. Recevoir l'exemple de rapport Veuillez ne pas remplir ce champ.

La remédiation doit être organisée selon le risque réel pour l’activité, et non uniquement selon le score technique de chaque vulnérabilité.

Un test de contrôle peut ensuite confirmer que les chemins identifiés ne sont plus exploitables et que les mesures mises en place produisent bien l’effet attendu.

 

Une intrusion interne ne doit pas compromettre tout le SI

Empêcher les attaquants d’entrer reste indispensable. Mais cette protection ne peut pas constituer l’unique stratégie de sécurité.

Une entreprise doit aussi être capable de contenir une intrusion interne lorsqu’une première barrière finit par céder. Un poste compromis ne devrait pas donner accès aux serveurs critiques. Un compte utilisateur ne devrait pas permettre d’obtenir facilement des privilèges d’administration. Les tentatives de reconnaissance et de mouvement latéral devraient également générer des signaux détectables.

Le pentest de réseau interne permet de vérifier ces différents niveaux de défense dans les conditions réelles du système d’information.

Sa valeur ne réside pas seulement dans le nombre de vulnérabilités identifiées, mais dans sa capacité à démontrer jusqu’où un attaquant pourrait aller, par quel chemin et avec quelles conséquences pour l’entreprise.

La solidité d’un système d’information ne se mesure donc pas uniquement à sa capacité à empêcher un attaquant d’entrer. Elle se mesure aussi à sa capacité à le ralentir, à le détecter et à le contenir une fois à l’intérieur.

Notre outil d’estimation de test d’intrusion Avant de lancer une démarche, vous vous demandez... Combien coûterait un pentest ? Estimez le tarif d’un test d’intrusion sur vos SI en quelques minutes grâce à notre questionnaire ! ● Estimer le prix d’un pentest sur mes SI