ofaciq

Accueil › Testeur d'intrusion

Le testeur d'intrusion adopte le point de vue d'un attaquant pour évaluer, dans un cadre légal strict, la résistance d'une application, d'un système d'information ou d'une organisation. C'est l'un des métiers offensifs présentés dans le panorama des métiers de la cybersécurité ; c'est aussi l'un des plus mal compris, car il ne se résume ni à lancer des outils ni à « pirater ».

Ce que fait un testeur d'intrusion

Sa mission consiste à trouver et à démontrer des chemins d'attaque avant que de vrais attaquants ne les empruntent, puis à expliquer comment les fermer. Concrètement, il reçoit un périmètre défini par le client, il l'explore méthodiquement, il tente d'exploiter les faiblesses qu'il identifie, il mesure jusqu'où un attaquant pourrait aller, et il consigne tout cela dans un rapport exploitable par les équipes techniques comme par la direction.

Le livrable est au cœur du métier. Un test d'intrusion qui n'aboutit qu'à une liste de failles sans priorisation, sans preuve et sans recommandations concrètes n'a que peu de valeur. Une bonne partie du temps de mission est consacrée à la rédaction et à la restitution.

Test d'intrusion, audit, scan : trois choses différentes

Ces termes sont souvent confondus. Le scan de vulnérabilités est automatisé : un outil compare un système à une base de failles connues et produit un rapport, avec beaucoup de faux positifs. L'audit de sécurité vérifie la conformité à un référentiel ou à de bonnes pratiques, souvent sur pièces et par entretiens. Le test d'intrusion va plus loin : il cherche activement à exploiter les faiblesses, à les enchaîner, et à évaluer l'impact réel. Les trois sont complémentaires ; ils ne répondent pas à la même question.

Les types de tests

On distingue les tests selon le niveau d'information fourni au testeur :

• Boîte noire : aucun accès ni information préalable, comme un attaquant externe qui découvre la cible. Réaliste, mais chronophage, et une faille profonde peut passer inaperçue faute de temps.
• Boîte grise : le testeur dispose de comptes utilisateurs standard ou de quelques informations. C'est le format le plus courant, car il représente bien la menace d'un utilisateur malveillant ou d'un attaquant ayant déjà un pied dans le système.
• Boîte blanche : accès complet au code, à l'architecture et aux configurations. C'est le plus efficace pour la couverture, souvent utilisé sur les applications critiques.

Le périmètre varie tout autant : application web, service exposé sur Internet, réseau interne, environnement Active Directory, application mobile, objets connectés, ingénierie sociale (hameçonnage, appels), voire intrusion physique dans les locaux. Chaque périmètre demande des compétences en partie spécifiques.

Le déroulé d'une mission

Une mission suit en général six étapes. Le cadrage : définition précise du périmètre, des objectifs, des créneaux autorisés, des interdits, et des personnes à prévenir. La reconnaissance : collecte d'informations sur la cible, cartographie de la surface d'attaque. La recherche de vulnérabilités : identification des faiblesses, manuellement et à l'aide d'outils. L'exploitation : tentative d'obtenir un accès ou d'élever ses privilèges. La post-exploitation : évaluation de ce qu'un attaquant pourrait atteindre depuis cette position — données, autres systèmes, persistance. Le rapport et la restitution : rédaction, présentation aux équipes, puis souvent une contre-vérification quelques semaines plus tard pour confirmer que les correctifs sont en place.

Le cadre légal, non négociable

Accéder sans autorisation à un système de traitement automatisé de données, s'y maintenir ou en altérer le fonctionnement est un délit. Le testeur d'intrusion travaille donc systématiquement sur la base d'un mandat écrit : un document signé par une personne habilitée du côté client, qui décrit le périmètre exact, les adresses et systèmes concernés, la fenêtre temporelle, et les techniques autorisées ou exclues.

Quelques règles en découlent. On ne sort jamais du périmètre, même si une porte ouverte apparaît à côté. On documente ses actions au fil de l'eau, pour pouvoir rendre compte de tout ce qui a été fait. On manipule les données personnelles rencontrées avec la plus grande prudence, sans les copier ni les conserver au-delà du nécessaire. Et si l'on découvre une compromission déjà en cours, on arrête et on prévient immédiatement le client. Cette discipline n'est pas un détail administratif : c'est ce qui distingue le métier d'une activité illégale.

Les compétences attendues

• De solides bases en réseau et en systèmes d'exploitation, Windows et Linux.
• La sécurité des applications web : les grandes familles de vulnérabilités et la manière de les tester.
• Le fonctionnement d'un annuaire d'entreprise et les chemins d'élévation de privilèges associés.
• Au moins un langage de script — Python, Bash, PowerShell — pour automatiser et adapter les outils.
• La capacité à lire du code pour comprendre une logique applicative.
• Et, tout aussi important, la rédaction : un rapport clair, hiérarchisé, compréhensible par des non-spécialistes.

Les outils

Le testeur utilise des cadres d'exploitation, des proxys d'interception pour le web, des scanners, des outils de cartographie réseau et d'attaque d'annuaire, ainsi que de nombreux scripts spécialisés. Mais l'outil n'est qu'un moyen : deux testeurs disposant du même arsenal n'obtiendront pas les mêmes résultats. Ce qui fait la différence, c'est la méthode, la compréhension de ce qui se passe sous le capot, et la créativité pour enchaîner des faiblesses individuellement mineures.

Certifications

Plusieurs certifications offensives structurent la progression et rassurent les employeurs, en particulier une certification pratique très reconnue qui impose de compromettre un ensemble de machines en temps limité puis de rédiger un rapport. Le sujet est détaillé dans la page les certifications en cybersécurité. Elles ne remplacent pas la pratique : un parcours de plateformes d'entraînement, de challenges et de comptes rendus publiés pèse au moins autant.

Ce qu'un test d'intrusion ne dit pas

Un rapport de test est une photographie : il décrit l'état d'un périmètre défini, à une date donnée, avec le temps qui a été alloué. Il ne prouve pas qu'un système est sûr, seulement qu'un testeur compétent n'a pas trouvé mieux dans le temps imparti. Une faille profonde peut passer inaperçue faute de créneau pour l'atteindre ; un composant hors périmètre n'est pas évalué ; et le système continue d'évoluer après la mission. C'est pourquoi le test d'intrusion se combine à d'autres pratiques — revue d'architecture, gestion des correctifs, surveillance — plutôt que de s'y substituer. Un bon testeur formule d'ailleurs ces limites explicitement dans son rapport, au lieu de laisser croire à une garantie.

Le quotidien réel du métier

L'image du testeur qui enchaîne les intrusions spectaculaires est trompeuse. Une part importante du temps se passe à lire de la documentation, à comprendre une logique métier, à écrire du code d'appoint, et surtout à rédiger. Il faut aussi accepter les missions où rien ne tombe : un périmètre bien tenu peut résister, et le livrable consiste alors à le confirmer et à documenter les points d'attention mineurs. La veille est permanente, car les techniques et les outils évoluent chaque mois. Enfin, le métier demande une certaine tolérance à la frustration et une vraie discipline : rester dans le périmètre, noter ses actions, et savoir s'arrêter.

Rémunération et évolution

Un testeur junior démarre à un niveau proche d'un poste technique confirmé en informatique, la progression étant rapide pour les profils qui produisent des rapports de qualité et développent une spécialité. Après quelques années, on peut évoluer vers un rôle de référent technique, de responsable d'équipe, vers la recherche de vulnérabilités et la publication, ou vers la red team, qui simule des campagnes complètes sur la durée. Certains bifurquent vers le conseil ou l'architecture, en s'appuyant sur leur connaissance fine des modes opératoires des attaquants.

La demande pour ces profils reste supérieure à l'offre, ce qui joue sur les rémunérations et la mobilité. Revers de la médaille : la pression à rester à jour est forte, et le métier se prête mal à de longues pauses, car une année sans pratique se voit rapidement.