Le pentester renforce la cybersécurité des entreprises en détectant leurs failles de sécurité à l’aide de tests d’intrusion. En simulant des attaques informatiques, il détecte les points de vulnérabilité et y remédie.
Le terme pentester est issu de la contraction des mots anglais penetration test ou test d’intrusion. Sa mission est de simuler les intrusions de pirates informatiques en reproduisant leurs techniques sur les infrastructures et les réseaux afin d’en détecter les failles. Ces attaques contrôlées permettent d’évaluer le degré de vulnérabilité des systèmes et font l’objet de rapports documentés, qui mènent à des correctifs techniques pour améliorer la cybersécurité de l’entreprise.
Le pentester fait appel à de nombreux outils et astuces pour simuler le panel des instruments des hackers. Il maîtrise les langages de programmation (Python, C/C++, Java, PHP, etc.) pour automatiser les pentests. Il utilise également Linux et ses distributions axées sécurité. Les outils de tests d’intrusion lui sont essentiels, comme Kali Linux ou Metasploit.
Ce professionnel de la cybersécurité fait également intervenir la cryptographie (chiffrement des messages), le développement logiciel et les systèmes informatiques (systèmes embarqués, systèmes industriels) dans son travail. Enfin, une bonne maîtrise de l’anglais lui est demandée pour pouvoir mener une veille quotidienne sur les techniques de hacking.
Certaines compétences techniques et soft skills sont indispensables pour devenir un bon pentester :
Une formation de niveau bac + 3 à bac + 5 est exigée pour devenir pentester, avec un cursus spécialisé en cybersécurité dans une école d’informatique, une école d’ingénieurs ou une université. Il existe également des écoles spécialisées en cybersécurité.
Les recruteurs peuvent parfois exiger des certifications spécifiques, comme :
Il est conseillé au pentester en formation de s’exercer à Capture The Flag, un jeu qui a pour objectif l'identification et l’exploitation de la vulnérabilité d’un système informatique en capturant des drapeaux en un temps record.
Le salaire brut annuel d’un pentester se situe entre 35 000 € pour un débutant en sortie d’école et 65 000 € pour un profil senior.
En tant que freelance, le TJM des experts en cybersécurité en France oscille autour de 730 € .
Le pentester peut exercer son métier dans plusieurs types de structures :
La sécurité informatique étant un enjeu actuel majeur en raison de la multiplication des attaques, les domaines où exercer cette profession sont nombreux : services gouvernementaux, banques, assurances, industries, santé et recherche, télécommunications, etc.
Le métier de pentester peut être comparé avec celui de .hacker éthique. Toutefois, les deux professions comportent des disparités :
Au cours de sa carrière, le pentester peut se spécialiser sur un système en particulier (l’industrie par exemple), ou accéder à des postes de consultant en cybersécurité, responsable des intrusions ou Responsable de la Sécurité des Systèmes d’Information (RSSI).
Le métier de pentester représente le processus menant à la faille de sécurité et la réalisation de tests d’intrusion. Le hacker éthique, quant à lui, a davantage un rôle de conseiller pour améliorer la cybersécurité de l’entreprise.
Plusieurs certifications peuvent être demandées par les recruteurs, comme l’Offensive Security Certified Professional (OSCP), le Certified Ethical Hacker (CEH) ou le Certified Information Systems Security Professional (CISSP).
Secteur d’activité Assurance
Mission / Projet Analyste sécurité en charge de :
• Analyser des surfaces d’attaque et identifier des actifs à évaluer
• Identifier les vulnérabilités et évaluer les risques liés
• Analyser les résultats de scan de vulnérabilités via l’outil Cycognito
• Rédiger les recommandations à appliquer en fonction des besoins et des contraintes métiers
• Assurer la communication avec les équipes techniques et métiers
• Suivre et valider la mise en place des remédiations initialement proposées
Secteur d’activité
Mission / Projet • Audits techniques (Architecture, configuration)
• Test d’intrusion (Web, API, mobile, réseau ...)
• Phishing & Redteam
• Audit de code (Analyse de code et mise en place des recommandations de développement sécurisé
• Sensibilisation des utilisateurs aux menaces et aux risques des cyberattaques
• Formation et sensibilisation au développement sécurisé
Descriptif Consultante sécurité au sein du cabinet de Serma S3 pendant 2 ans et demi.
Au cours de cette période, des missions d’audit de sécurité technique : intrusion réseau, infrastructure et applicatifs ont été réalisé par rapport aux référentiels OWASP et CIS.
Effectif équipe Equipe de 10 pentesters et un chef de projet
Tâches / Réalisations Audit & conseil techniques :
• Architecture : Analyse des documents d’architecture (Analyse des faiblesses de sécurité ainsi que la recommandation
d’implémentation des mesures de sécurité : cloisonnement des sous-réseaux, mise en place des équipements de sécurité,
suppression des protocoles non sécurisés, étude des flux…)
• Configuration : Analyse des configuration équipements systèmes (Serveur, bases de données, pare-feu…) et recommandation de
durcissement de ses derniers celons le CIS.
Test d’intrusion :
• Web : Injection, XSS, SCRF, LFI/RFI, escalade de privilège horizontale ou verticale)
• API : Injection, XSS, SCRF, LFI/RFI, escalade de privilège horizontale ou verticale)
• Mobile : Injection, XSS, SCRF, LFI/RFI, escalade de privilège horizontale ou verticale)
• Réseau : Détection et exploitation des vulnérabilités sur des équipements du réseau, protocoles non sécurisés utilisés en interne…
• Phishing & Redteam
Formation et sensibilisation :
• Formation du personnel contre les risques de phishing et les intrusions physique
• Formation d’audit de code / top10 OWASP
Outils et techniques Nmap, BurpSuite, SQLmap, Dirsearch, Nessus, MobSF
Mission / Projet Audits techniques (Architecture, configuration)
Test d’intrusion (Web, API, mobile, réseau ...)
Descriptif Consultante sécurité au sein du cabinet de conseil Devoteam pendant
1 an et demi.
Au cours de cette période, des missions d’audit de sécurité technique
(intrusion réseau, infrastructure et applicatifs ont été réalisé par rapport aux référentiels OWASP et CIS.
Effectif équipe Equipe de 10 pentesters
Tâches / Réalisations Audits techniques
• Architecture : Analyse des documents d’architecture : présence/ absence de cloisonnement des sous réseaux, mise en place des équipements de sécurité, présence de protocoles non sécurisés, étude des flux…)
• Configuration : Analyse des configuration équipements systèmes (Serveur, bases de données, pare-feu…) et recommandation de durcissement de ses derniers celons le CIS.
Test d’intrusion
• Web : Injection, XSS, SCRF, LFI/RFI, escalade de privilège horizontale ou verticale)
• API : Injection, XSS, SCRF, LFI/RFI, escalade de privilège horizontale ou verticale)
• Mobile : Injection, XSS, SCRF, LFI/RFI, escalade de privilège horizontale ou verticale)
• Réseau : Détection et exploitation des vulnérabilités sur des équipements du réseau, protocoles non sécurisés utilisés en interne…
Outils et techniques Nmap, BurpSuite, SQLmap, Dirsearch, Nessus, MobSF