OWASP
Référentiels de test pour la sécurité des applications web, API et mobiles, incluant les vulnérabilités courantes et les bonnes pratiques de test.
Services de cybersécurité TIDUM
Des services de sécurité pour évaluer, renforcer et innover
TIDUM vous aide à identifier vos faiblesses, réduire votre exposition et bâtir des systèmes résilients — grâce aux tests d’intrusion, au conseil, à l’accompagnement SOC, à la formation et à la recherche appliquée.
Évaluation de sécurité
Tests d’intrusion et activités d’assurance qui valident vos contrôles de sécurité et mesurent l’exposition réelle de vos environnements web, mobile, cloud, réseau et infrastructure.
Conseil
Services de conseil qui aident les organisations à concevoir des architectures plus robustes, à renforcer leur gouvernance, à exploiter des capacités SOC et à former leurs équipes techniques.
R&D
Recherche appliquée en cybersécurité et solutions sécurisées sur mesure pour les organisations ayant des exigences spécifiques de confidentialité, d’exploitation ou de modèle de menace.
Tests d’intrusion alignés avec les standards du secteur
TIDUM réalise ses tests d’intrusion selon une méthodologie structurée, alignée avec des standards de cybersécurité, cadres de contrôle et référentiels de test reconnus. Cette approche permet à nos clients de relier les constats techniques aux enjeux de gouvernance, de risque, de conformité et de remédiation.
NIST
Références de gestion du risque, d’alignement des contrôles et de maturité cybersécurité permettant de relier l’exposition technique au risque organisationnel.
ISO/IEC 27001
Cartographie avec les contrôles de sécurité de l’information afin de relier les constats aux pratiques de gouvernance, politiques et management de la sécurité.
PTES
Référence structurée pour les phases d’un test d’intrusion : cadrage, collecte d’information, exploitation, reporting et remédiation.
MITRE ATT&CK
Cartographie des comportements adverses pour les scénarios Red Team, l’évaluation de la détection et l’analyse des chemins d’attaque.
CVSS
Support à la notation de sévérité afin de communiquer l’impact des vulnérabilités et prioriser la remédiation.
PCI-DSS
Considérations de test pour les environnements de paiement lorsque les systèmes de paiement, données carte ou infrastructures associées sont dans le périmètre.
CIS Benchmarks
Références de durcissement et de configuration sécurisée pour les systèmes, services cloud, composants réseau et revues d’infrastructure.
Pourquoi c’est important
Une méthodologie alignée avec des standards permet de produire des constats cohérents, reproductibles, compréhensibles par les équipes techniques et utiles aux décideurs. Elle facilite également la priorisation et la communication de la remédiation entre les équipes sécurité, IT, conformité et management.
Actifs que nous testons
TIDUM évalue les systèmes, applications, plateformes et actifs numériques qui constituent votre surface d’attaque réelle. Notre approche de test s’adapte à chaque type d’actif, à sa criticité métier et aux scénarios de menace les plus pertinents pour votre organisation.
Applications web
Ce que nous testons
- Connexion et gestion de session
- Contrôle d’accès et séparation des privilèges
- Injections, XSS, SSRF, CSRF et risques d’upload
- Abus de logique métier
- Exposition de données sensibles
API
Ce que nous testons
- Défauts d’autorisation au niveau objet
- Exposition excessive de données
- Authentification et gestion des jetons
- Limitation de débit et scénarios d’abus
- Failles de logique et de workflow API
Applications mobiles
Ce que nous testons
- Stockage sécurisé sur le terminal
- TLS et validation des certificats
- Sécurité des communications API
- Authentification et gestion de session
- Écarts de durcissement et rétro-ingénierie
Environnements cloud
Ce que nous testons
- Rôles, utilisateurs et politiques IAM
- Stockage public et services exposés
- Groupes de sécurité et règles firewall
- Secrets et gestion des clés
- Lacunes de journalisation et supervision cloud
Infrastructure
Ce que nous testons
- Exposition du périmètre externe
- Chemins réseau internes
- Configuration des serveurs et services
- Opportunités d’escalade de privilèges
- Contrôles de segmentation réseau
Identité et accès
Ce que nous testons
- SSO et fournisseurs d’identité
- Contrôles d’authentification multifacteur
- Contrôle d’accès basé sur les rôles
- Comptes à privilèges
- Cycle de vie des comptes et revues d’accès
Red Team
Ce que nous testons
- Chemins d’accès initial
- Opportunités de mouvement latéral
- Capacités de détection et de réponse
- Exposition des actifs critiques
- Résilience opérationnelle
Communications sécurisées
Ce que nous testons
- Hypothèses de chiffrement de bout en bout
- Modèle de déploiement client et serveur
- Identité et confiance des terminaux
- Considérations de gestion des clés
- Contrôle opérationnel et propriété des données
Découverte d’actifs
Ce que nous testons
- Domaines et sous-domaines
- Services web exposés
- Actifs hébergés dans le cloud
- Systèmes oubliés ou non gérés
- Priorisation de l’exposition
Méthodes d’audit
Le niveau d’information partagé avant les tests influence la profondeur, le réalisme et l’efficacité de l’évaluation. TIDUM prend en charge les approches Black-Box, Gray-Box et White-Box selon les objectifs, la sensibilité et la maturité de l’environnement cible.
Perspective externe
Black-Box
Dans une évaluation Black-Box, le test démarre avec peu ou pas de connaissance interne sur la cible.
Informations fournies
- Domaine, application, plage IP ou périmètre limité
- Règles d’engagement
- Fenêtre de test
- Points de contact autorisés
Idéal pour
- Test de surface d’attaque externe
- Systèmes exposés sur Internet
- Première ligne de base sécurité
- Perspective réaliste d’un attaquant
Avantage principal : Fournit une vision réaliste de ce qu’un attaquant externe peut découvrir et tenter d’exploiter.
Compromis : Couverture interne plus limitée et davantage de temps consacré à la découverte.
Perspective équilibrée
Gray-Box
Dans une évaluation Gray-Box, le test est réalisé avec des informations limitées pour équilibrer réalisme et efficacité.
Informations fournies
- Comptes de test avec différents rôles
- Documentation API
- Vue d’ensemble de l’architecture
- Workflows métier sélectionnés
- Contraintes techniques pertinentes
Idéal pour
- Tests d’intrusion web et API
- Tests de contrôle d’accès par rôle
- Tests applicatifs authentifiés
- Tests de logique métier
Avantage principal : Permet des tests plus profonds tout en conservant une perspective d’attaque réaliste.
Compromis : Nécessite un partage contrôlé d’informations et une préparation avant les tests.
Perspective complète
White-Box
Dans une évaluation White-Box, l’équipe utilise une connaissance interne complète pour des tests plus profonds.
Informations fournies
- Code source ou dépôts
- Schémas d’architecture
- Détails de configuration
- Documentation de déploiement
- Accès privilégiés lorsque pertinent
Idéal pour
- Systèmes critiques
- Évaluations à haute assurance
- Appui à la revue de code sécurisé
- Architectures complexes
Avantage principal : Maximise la couverture et révèle des faiblesses plus profondes de conception, de logique et d’implémentation.
Compromis : Nécessite davantage de préparation et peut prendre plus de temps pour les systèmes complexes.
Approche de mission
Chaque mission TIDUM suit un processus clair, du cadrage au retest. L’objectif est de garantir des tests contrôlés, fondés sur des preuves, reproductibles et directement utiles à la remédiation.
01
Cadrer et préparer
Nous définissons les objectifs de la mission, le périmètre, les contraintes, les fenêtres de test et les règles d’engagement.
Sortie : Périmètre et règles d’engagement validés
02
Découvrir et cartographier
Nous analysons l’environnement cible, les services exposés, les workflows et les chemins d’attaque probables.
Sortie : Surface d’attaque et plan de test
03
Tester et valider
Nous réalisons des tests manuels, validons les vulnérabilités et documentons les preuves techniques.
Sortie : Constats de sécurité validés
04
Analyser le risque
Nous évaluons la sévérité technique, l’exposition, la probabilité, l’impact métier et l’urgence.
Sortie : Vulnérabilités classées par niveau de risque
05
Rapporter et débriefer
Nous livrons les rapports exécutifs et techniques, et accompagnons la priorisation de la remédiation.
Sortie : Rapport exécutif, rapport technique et plan de remédiation
06
Retester et améliorer
Lorsque prévu, nous retestons les corrections, mettons à jour le risque et documentons la clôture.
Sortie : Rapport de retest et posture de sécurité renforcée
Prêt à renforcer votre posture de sécurité ?
Présentez-nous vos applications, infrastructures, environnements cloud ou objectifs de sécurité. TIDUM vous aidera à définir le bon modèle de mission et à préparer une proposition adaptée.
Contacter TIDUM