Pentest d’infrastructure
Un test d’intrusion d’infrastructure mesure ce qu’un attaquant obtient réellement de votre réseau : d’abord depuis Internet, sur votre périmètre exposé, puis depuis l’intérieur, une fois qu’un poste de travail ou un compte utilisateur est tombé.
Nous traitons les deux angles : le test d’intrusion externe sur vos services publiés, vos accès VPN et votre messagerie, et le test d’intrusion interne sur votre annuaire Active Directory, votre segmentation réseau, vos serveurs critiques, vos clusters Kubernetes et vos réseaux Wi-Fi.
Chaque mission est réalisée sur mandat écrit, dans un périmètre défini contractuellement (articles 323-1 et suivants du code pénal), avec des règles d’engagement arrêtées avant le premier paquet envoyé.
Vous recevez un rapport en français, priorisé par criticité, avec les preuves d’exploitation et un plan de remédiation, une restitution en visioconférence avec vos équipes, puis un contre-audit inclus, sans surcoût, dans les 90 jours suivant la remise du rapport.
Ils nous font confiance
Objectifs d’un test d’intrusion d’infrastructure
Un test d’intrusion d’infrastructure ne cherche pas à produire la liste la plus longue possible de vulnérabilités. Il répond à quatre questions que votre RSSI et votre DSI se posent réellement : qu’est-ce qui est visible depuis Internet, jusqu’où va-t-on à partir de là, que se passe-t-il si un poste du siège est compromis, et dans quel ordre faut-il corriger.
Nous combinons l’outillage — balayage de ports, scan de vulnérabilités, renseignement en sources ouvertes — avec une exploitation manuelle, parce que les constats qui comptent sur une infrastructure ne sont presque jamais des CVE isolés. Un scanner signale un service non à jour ; il ne dit pas qu’en enchaînant trois droits mal attribués, un compte de service oublié et un partage trop ouvert, on atteint l’administration du domaine en une demi-journée.
Mesurer votre exposition réelle
Nous établissons ce qui est réellement joignable depuis Internet : services publiés, interfaces d’administration, environnements de recette oubliés, actifs hors inventaire.
Vérifier votre cloisonnement
Nous testons si vos VLAN, vos pare-feu internes et vos règles de filtrage tiennent lorsqu’un poste bureautique sert de point de départ.
Identifier les chemins vers le domaine
Nous reconstituons les chaînes qui mènent d’un compte standard à un compte à privilèges, puis à l’administration de l’annuaire.
Prioriser vos corrections
Chaque constat est classé par criticité et par effort de correction, pour que vos équipes sachent ce qui passe en premier.
Test d’intrusion externe
Le test d’intrusion externe se place là où se tiennent les attaquants opportunistes : sur Internet, sans compte, sans accès et sans plan de votre réseau. Son objectif est de dresser la carte de ce que vous exposez — y compris ce que vous ne saviez plus exposer — puis de vérifier lesquelles de ces portes s’ouvrent réellement.
Nous partons de vos noms de domaine et de vos plages d’adresses IP pour reconstituer votre surface d’attaque : sous-domaines, certificats, enregistrements DNS, actifs hébergés chez des tiers. Cette phase rend presque toujours visibles des éléments qui ne figurent dans aucun inventaire : une interface d’administration publiée « le temps d’un dépannage », un environnement de recette laissé en ligne, un ancien serveur de messagerie jamais décommissionné.
Ce que nous examinons ensuite :
- Surface exposée et services publiés : serveurs web, API, portails clients, partages de fichiers, interfaces d’administration accessibles, protocoles d’accès distant.
- Accès distants et VPN : concentrateurs VPN, passerelles d’accès, bureaux à distance, robustesse de l’authentification multifacteur et existence de chemins qui la contournent.
- Messagerie : configuration SPF, DKIM et DMARC, relais ouverts, portails de webmail, comptes exposés à la pulvérisation de mots de passe (password spraying).
- Fuites d’identifiants : recherche en sources ouvertes d’identifiants de vos collaborateurs apparus dans des compromissions antérieures, de clés d’API dans des dépôts publics et de documents internes indexés.
- Périmètre et filtrage : pare-feu, répartiteurs de charge, règles trop permissives, services d’administration joignables depuis n’importe quelle adresse.
Un test externe sur un périmètre restreint tient généralement en 3 à 5 jours-homme. C’est le point de départ que nous recommandons lorsque votre cartographie d’exposition n’est plus à jour, car c’est par là qu’arrivent les attaques non ciblées. Si vos applications web représentent l’essentiel de cette surface, un pentest web approfondit ce que le test d’infrastructure ne fait que survoler.
Test d’intrusion interne
Le test d’intrusion interne répond à une question différente : que se passe-t-il ensuite ? Nous partons du principe qu’un attaquant a déjà un pied dans le réseau — un poste compromis par un message piégé, un prestataire dont les accès ont été détournés, un ordinateur portable volé. C’est le scénario que le marché désigne par son nom anglais, assumed breach : plutôt que de consommer la moitié du budget à démontrer qu’une entrée est possible, nous la posons comme acquise et nous mesurons ce qu’elle coûte.
Concrètement, vous nous fournissez un point d’entrée — un poste de travail standard, une machine virtuelle sur un VLAN utilisateur ou un compte de domaine sans privilège — et nous mesurons le chemin qui mène de là à vos actifs les plus sensibles.
Active Directory
L’annuaire est presque toujours le centre de gravité de la mission, parce qu’il est le centre de gravité de votre système d’information. Nous y recherchons les chaînes de compromission classiques et celles que votre historique a créées : comptes de service porteurs d’un SPN avec un mot de passe faible (Kerberoasting), comptes dont la préauthentification Kerberos est désactivée (AS-REP roasting), délégation contrainte ou non contrainte mal maîtrisée, ACL permettant à un utilisateur standard de réinitialiser le mot de passe d’un compte privilégié, secrets en clair dans les scripts d’ouverture de session ou les objets de stratégie de groupe, relais NTLM, comptes administrateurs locaux partageant le même mot de passe sur tout le parc.
Segmentation réseau
Nous vérifions ensuite si votre cloisonnement résiste : un poste bureautique atteint-il les serveurs de sauvegarde, l’hyperviseur, les automates de production, le réseau des caméras ? Chaque franchissement est documenté avec le flux qui l’a permis, pour que la correction soit une règle de filtrage précise et non une refonte vague.
Élévation de privilèges et latéralisation
Sur les postes et les serveurs atteints, nous testons les chemins d’élévation locale : services mal permissionnés, tâches planifiées modifiables, correctifs manquants, secrets résidant en mémoire, jetons d’authentification réutilisables. Nous enchaînons ensuite les rebonds d’une machine à l’autre. L’objectif reste le même : déterminer si l’administration du domaine est atteignable, en combien d’étapes, et laquelle de ces étapes est la moins coûteuse à supprimer.
Une mission interne couvrant l’annuaire et la segmentation représente le plus souvent 5 à 10 jours-homme. Dans un environnement hébergé chez un fournisseur cloud, les mêmes questions se posent avec d’autres mécanismes : voir notre page pentest cloud. Pour mesurer non pas les chemins techniques mais votre capacité de détection et de réaction, il s’agit d’une mission Red Team.
Périmètre
Périmètre et cadrage : ce que nous testons
Le cadrage précède toujours le test. Nous listons ensemble les plages d’adresses, les domaines, les sites et les systèmes concernés, ceux que vous excluez explicitement, les créneaux autorisés et les personnes à joindre en cas d’incident. Cette note de cadrage est annexée au mandat écrit et ne bouge plus sans avenant.
La plupart de nos clients commencent par l’externe, puis étendent à l’interne, à l’annuaire et au Wi-Fi lors d’une seconde campagne. Traiter les deux dans une même mission revient moins cher : le cadrage, la restitution et le contre-audit ne sont réalisés qu’une fois.
Infrastructure externe
Services publiés, accès VPN, passerelles d’accès distant, messagerie, pare-feu et tout ce qui répond depuis Internet.
Infrastructure interne
Segmentation réseau, serveurs métier, hyperviseurs, sauvegardes, postes de travail et chemins de latéralisation.
Active Directory
Politique de mots de passe, délégations, objets de stratégie de groupe, comptes de service et comptes à privilèges.
Kubernetes
Configuration des clusters, isolation entre espaces de noms, comptes de service, gestion des secrets et exposition des API.
Réseaux Wi-Fi
Chiffrement, portails captifs, réseaux invités, scénarios de point d’accès pirate et d’interception (MITM).
Approches : boîte noire, boîte grise, boîte blanche
Avant de parler d’outils, il faut choisir le niveau de connaissance que nous recevons de votre part. Ce choix change le déroulement, la durée et ce que vous apprenez. Aucune des trois approches n’est supérieure aux autres : elles répondent à des questions différentes.
Boîte noire (black box)
Nous ne disposons que de ce qu’un attaquant extérieur peut obtenir : un nom de société, des noms de domaine, éventuellement une plage d’adresses IP. Cette approche reproduit fidèlement une attaque non ciblée et met à l’épreuve votre exposition telle qu’elle est, y compris les actifs que vous aviez oubliés. Sa limite est budgétaire : une part du temps passe en reconnaissance, et un actif que nous n’aurons pas découvert ne sera pas testé.
Boîte grise (grey box)
Vous nous fournissez un niveau d’accès intermédiaire : un compte de domaine sans privilège, un accès au VLAN utilisateur, la liste des plages d’adresses concernées. C’est l’approche que nous recommandons pour la grande majorité des tests d’intrusion internes, et c’est celle du scénario assumed breach. Le budget va à l’exploitation plutôt qu’à la découverte, et la couverture du périmètre est garantie.
Boîte blanche (white box)
Nous travaillons avec l’ensemble des éléments : schémas d’architecture, règles de filtrage, configurations, accès en lecture aux consoles d’administration. C’est l’approche qui couvre le plus de terrain par jour-homme dépensé ; elle convient avant une mise en production, après une refonte de l’annuaire, ou lorsqu’un auditeur attend une couverture exhaustive.
En pratique, la plupart des missions sont mixtes : boîte noire dehors, boîte grise dedans. Ce choix est arrêté pendant le cadrage, selon votre budget et la question à laquelle vous voulez une réponse.
Notre méthodologie
Méthodologie et déroulement
Nous suivons des référentiels publics plutôt qu’une recette maison, pour que vous puissiez vérifier ce qui a été couvert. Le déroulement s’appuie sur le PTES (Penetration Testing Execution Standard) et sur le NIST SP 800-115 ; les techniques mises en œuvre sont rattachées aux tactiques MITRE ATT&CK, ce qui permet à votre équipe de détection de rejouer chaque étape dans ses journaux.
Les interfaces web rencontrées sur le périmètre sont testées selon l’OWASP WSTG, dont nous détaillons l’usage sur notre page méthodologie OWASP WSTG ; le référentiel OWASP MASTG s’applique quant à lui aux applications mobiles, traitées sur la page pentest mobile.
Cadrage et autorisation écrite
Nous arrêtons ensemble les objectifs, le périmètre, les exclusions, les créneaux d’intervention et les contacts joignables. Le mandat écrit et la note de cadrage sont signés avant toute action.
Reconnaissance et cartographie
Renseignement en sources ouvertes, énumération des domaines et des plages d’adresses, découverte des services, des équipements et des comptes. Nous construisons la carte réelle du périmètre, pas celle de l’inventaire.
Identification et validation des vulnérabilités
Outillage, puis vérification manuelle de chaque constat. Les faux positifs sont écartés avant d’atteindre le rapport : un rapport qu’il faut trier n’est pas un rapport exploitable.
Exploitation, latéralisation, élévation de privilèges
Nous démontrons l’impact réel : accès obtenu, données atteintes, chemin parcouru vers l’administration du domaine. Chaque action est journalisée et horodatée.
Rapport et restitution
Rapport en français, constats classés par criticité avec preuves et correctifs attendus, synthèse managériale, puis restitution en visioconférence avec vos équipes techniques et votre direction.
Contre-audit
Après vos corrections, nous rejouons les constats concernés et nous actualisons le rapport. Inclus, sans surcoût, dans les 90 jours suivant la remise du rapport initial.
Livrables
Livrables : rapport, restitution et contre-audit
Le livrable n’est pas un export d’outil. C’est un document rédigé et relu, conçu pour deux lecteurs différents : vos administrateurs, qui doivent corriger, et votre direction, qui doit arbitrer.
Synthèse managériale
Deux pages sans jargon : niveau d’exposition constaté, risques métier associés, décisions à prendre et effort correspondant.
Rapport technique
Chaque constat avec sa criticité (CVSS), les preuves d’exploitation, les éléments de journalisation utiles et la correction attendue.
Chemins d’attaque reconstitués
Les enchaînements qui mènent d’un accès banal à un compte à privilèges, étape par étape, avec le maillon le plus simple à rompre.
Restitution en visioconférence
Une séance de restitution avec vos équipes : nous déroulons le rapport, répondons aux questions et arbitrons l’ordre des corrections. Elle se tient à distance.
Contre-audit inclus
Nous rejouons les constats après correction, dans les 90 jours. C’est compris dans le prix de la mission, et non facturé en jours supplémentaires.
Comparatif
Audit de vulnérabilités ou test d’intrusion d’infrastructure ?
Les deux prestations sont complémentaires et ne répondent pas à la même question. L’une mesure la surface, l’autre mesure l’impact.
| Critère | Audit de vulnérabilités | Test d’intrusion d’infrastructure |
|---|---|---|
| Objectif | Recenser les vulnérabilités connues et les défauts de configuration sur un périmètre large. | Démontrer ce qu’un attaquant obtient réellement, et jusqu’où il va. |
| Méthode | Balayage outillé, comparaison de versions, écarts par rapport aux référentiels de durcissement. | Exploitation manuelle, enchaînement de constats, latéralisation et élévation de privilèges. |
| Profondeur | Pas de preuve d’exploitation, pas de simulation de déplacement dans le réseau. | Preuve d’exploitation par constat et chemin d’attaque reconstitué jusqu’à l’impact. |
| Livrable | Liste de vulnérabilités priorisée par criticité technique. | Rapport priorisé par risque métier, plan de remédiation et contre-audit inclus. |
| Rythme conseillé | Trimestriel ou continu, sur un périmètre étendu. | Annuel, et après chaque changement majeur d’architecture. |
Vous hésitez entre les deux ? Notre page audit de vulnérabilités détaille la première option, et l’article scan de vulnérabilités ou test d’intrusion compare les deux. Vous pouvez aussi nous écrire à info@haxoris.com.
Témoignages clients
Ce que nos clients disent de nous
Pourquoi Haxoris ?
Nous ne détenons aucune qualification délivrée par une autorité publique française, et nous le disons avant que vous ne le demandiez. Ce que nous mettons en face tient en trois engagements, tous vérifiables avant la signature.
Contre-audit inclus, sans surcoût
Après vos corrections, nous rejouons les constats et nous actualisons le rapport. C’est compris dans le prix de la mission, dans les 90 jours suivant sa remise, et non vendu comme une journée supplémentaire.
Nos tarifs sont publics
Nous publions nos fourchettes et notre tarif journalier au lieu de les réserver au premier rendez-vous. Le détail, avec des périmètres chiffrés, figure dans notre article sur le prix d’un test d’intrusion.
Vous savez qui teste
Vous connaissez, avant de signer, le nom des pentesteurs affectés à votre mission et leurs certifications individuelles (OSCP, OSEP, OSWE), et vous leur parlez directement pendant le test. Nos clients le confirment.
Prestataire européen
Haxoris OÜ est une société établie dans l’Union européenne. Vos données et vos rapports restent dans l’UE, le RGPD s’applique directement et nos sous-traitants sont nommés au contrat. Plus de détails à propos de nous.
Foire aux questions (FAQ)
01 Combien coûte un test d’intrusion d’infrastructure ?
Le prix dépend du périmètre : nombre d’adresses IP exposées, nombre de segments réseau, test externe seul ou externe et interne, présence d’Active Directory, de clusters Kubernetes ou de réseaux Wi-Fi dans le périmètre.
En France, une mission de ce type se situe le plus souvent entre 3 000 et 20 000 € HT selon l’étendue retenue. Nous établissons un devis ferme et gratuit après un cadrage d’une trentaine de minutes, et nos fourchettes comme notre tarif journalier sont publiés : voir notre article sur le prix d’un test d’intrusion.
02 Combien de jours-homme faut-il prévoir ?
Un test d’intrusion externe sur un périmètre restreint tient en 3 à 5 jours-homme. Une mission interne couvrant l’annuaire Active Directory et la segmentation demande en général 5 à 10 jours-homme. Une mission combinant les deux, avec le Wi-Fi et un cluster Kubernetes, dépasse régulièrement 15 jours-homme.
Le nombre de jours est arrêté au cadrage et figure au devis. Si le périmètre s’avère plus large que prévu, nous vous le signalons avant de poursuivre : aucun dépassement n’est facturé sans votre accord écrit préalable.
03 Faut-il commencer par le test externe ou par le test interne ?
Commencez par l’externe si vous ne disposez pas d’une cartographie à jour de ce que vous exposez sur Internet : c’est la porte par laquelle arrivent les attaques non ciblées. Commencez par l’interne si votre périmètre a déjà été testé, ou si votre risque principal est un poste compromis par un message piégé, un prestataire mal cloisonné ou un ordinateur portable volé.
Beaucoup d’organisations traitent les deux dans une même mission : le cadrage, la restitution et le contre-audit ne sont alors réalisés qu’une fois.
04 Boîte noire ou boîte grise ?
La boîte noire reproduit la situation d’un attaquant extérieur sans connaissance préalable ; elle est pertinente sur le périmètre externe, où la découverte fait partie de l’exercice. La boîte grise, dans laquelle vous nous fournissez un compte standard ou un accès au réseau interne, est la plus efficace en interne : le budget passe en exploitation plutôt qu’en reconnaissance.
Le plus souvent, nous combinons les deux : boîte noire dehors, boîte grise dedans.
05 Le contre-audit est-il inclus ?
Oui, sans surcoût. Une fois vos correctifs appliqués, nous rejouons les constats concernés, nous vérifions que les chemins d’attaque sont fermés et nous vous remettons un rapport de contre-audit actualisé. Il est compris dans le prix de la mission, dans les 90 jours suivant la remise du rapport initial.
Ce document sert aussi de preuve auprès d’un client, d’un assureur ou d’un auditeur : il montre ce qui a été corrigé, et vérifié.
06 Faut-il un prestataire qualifié pour réaliser un test d’intrusion ?
Pour une entreprise privée qui commande un test d’intrusion, non. Les dispositifs de qualification publics français relèvent d’une démarche volontaire ; ils ne conditionnent pas la réalisation d’un test d’intrusion commandé par une société privée. Ils sont en revanche exigés dans certains contextes réglementés et dans une partie des marchés publics.
Disons-le clairement : nous ne détenons aucune qualification délivrée par une autorité publique française et nous ne répondons pas aux consultations qui en exigent une. Ce qu’il faut alors demander à un prestataire : sa méthodologie et les référentiels suivis, les certifications individuelles nominatives de ses testeurs, un exemple de rapport anonymisé avant signature, son assurance de responsabilité civile professionnelle et son traitement des données collectées. Nous fournissons les cinq ; notre article comment choisir un prestataire de test d’intrusion détaille la grille complète.
Dernière vérification : 11 septembre 2026.
07 Le test peut-il perturber la production ?
Le risque n’est jamais nul et nous ne prétendrons pas le contraire. Il se maîtrise par le cadrage : nous excluons ou encadrons les actions potentiellement perturbatrices (déni de service, attaques par force brute massives, sollicitation d’équipements industriels), nous convenons de créneaux d’intervention, et un contact reste joignable de part et d’autre pendant toute la mission.
Les tests destructifs ne sont réalisés que sur demande écrite explicite. Sur les environnements les plus sensibles, nous travaillons volontiers sur une préproduction représentative ; nous le mentionnons alors dans le rapport.
