Sommaire
En résumé : Un scan de vulnérabilités détecte automatiquement les failles connues.
Un test d’intrusion va plus loin : un expert simule une vraie attaque pour trouver ce que les outils ratent.
Le choix dépend de vos risques et des systèmes à évaluer.
| Critère | Scan de vulnérabilités | Test d’intrusion |
|---|---|---|
| Méthode | Outil automatisé | Analyse humaine assistée par des outils |
| Durée | Quelques heures | Plusieurs jours |
| Ce qu’il trouve | Failles connues (CVE), configurations par défaut | Failles logiques, enchaînements, contournements |
| Faux positifs | Fréquents | Très rares (tout est vérifié manuellement) |
| Exploitation | Non : signale sans prouver | Oui : démontre l’impact réel |
| Fréquence idéale | Mensuel ou trimestriel | Annuel ou après changement majeur |
| Budget | Faible par scan | Plus élevé mais impact supérieur |
Le scan de vulnérabilités : votre première ligne de défense
Un scan de vulnérabilités est un processus 100% automatisé dans lequel un outil comme Nessus, Qualys ou OpenVAS parcourt votre réseau, compare les versions de vos logiciels avec une base de failles officiellement répertoriées (CVE) et vous signale ce qui doit être corrigé.
Ce qu’il fait bien :
- Détecte les correctifs manquants sur des centaines de machines en quelques heures
- Identifie les configurations par défaut dangereuses (mots de passe triviaux, services inutiles exposés)
- Offre une vue d’ensemble régulière de votre niveau de sécurité
- Permet de suivre l’évolution de votre posture de sécurité dans le temps
Ses principales limites :
- Il ne connaît pas vos règles métier sans un contexte adapté
- Il ne couvre pas toutes les failles inconnues ni toutes les erreurs de conception
- Ses alertes ne démontrent pas toujours l’exploitabilité dans votre environnement
- Il génère des faux positifs qui nécessitent un tri manuel
Le scan est un excellent point de départ pour identifier les failles connues mais pour aller plus loin et vérifier ce qui est réellement exploitable, il faut un test d’intrusion.
Le test d’intrusion : simuler une vraie attaque
Un test d’intrusion (ou pentest) est réalisé par un expert en cybersécurité (pentester) qui se met dans la peau d’un attaquant. Il ne se contente pas de lister des failles, il les exploite pour montrer concrètement ce qu’un pirate pourrait faire à votre entreprise.
Le pentester suit une méthodologie structurée : reconnaissance, énumération des points d’entrée, exploitation des vulnérabilités, évaluation de l’impact puis rapport détaillé avec preuves, recommandations et plan d’action.
Ce qu’un pentest permet d’approfondir
-
Les failles de logique métier : Votre site e-commerce permet de modifier le prix d’un article en manipulant une requête HTTP ? Une requête techniquement valide peut enfreindre une règle métier. Les tests doivent tenir compte des montants attendus et du fonctionnement du paiement.
-
L’enchaînement de vulnérabilités : Trois failles « moyennes » identifiées par Nessus peuvent sembler peu critiques lorsqu’elles sont prises séparément, mais leur combinaison peut ouvrir un chemin vers des droits d’administrateur du domaine Active Directory selon le contexte.
-
Les contournements d’authentification : Un mécanisme de réinitialisation de mot de passe qui génère des tokens prévisibles, une API qui expose les données d’autres utilisateurs en changeant simplement un numéro dans l’URL… Les outils peuvent aider à les détecter mais les résultats doivent être confrontés aux droits attendus et au contexte de l’application.
Les deux sont complémentaires
Le scan et le pentest ne s’opposent pas : un test d’intrusion inclut d’ailleurs une phase de scan dans sa méthodologie. La différence c’est ce qui vient après, le pentester exploite les résultats, les combine et teste des scénarios adaptés au fonctionnement réel de vos systèmes.
Pour les entreprises qui débutent en cybersécurité, un audit de vulnérabilités est un bon premier pas. Pour celles qui veulent aller plus loin, le test d’intrusion donne une vision réaliste de ce qu’un attaquant pourrait faire.
Quand choisir l’un ou l’autre ?
Privilégiez le scan régulier si :
- Vous n’avez jamais évalué votre sécurité
- Vous devez maintenir une conformité (PCI-DSS, ISO 27001)
- Vous voulez un suivi continu après corrections
Ajoutez un pentest si :
- Vous avez une application critique (e-commerce, portail client, API)
- Vous préparez une mise en production importante
- Vous devez démontrer le risque à votre direction avec des preuves concrètes
- Votre secteur l’exige (NIS 2, DORA)
La stratégie optimale
Ne choisissez pas entre les deux, combinez-les :
- Des scans mensuels ou trimestriels pour garder le cap
- Un pentest annuel sur vos actifs critiques et des retests après chaque correction majeure
C’est cette approche en couches qui vous protège réellement.
Vous souhaitez évaluer la sécurité de votre système d’information ? Découvrez notre audit de vulnérabilités ou notre offre de test d’intrusion web. Pour bien préparer votre projet, consultez notre guide : Comment se préparer à un test d’intrusion.
