Aller au contenu principal

Pentest Cloud

Évaluer la sécurité de vos environnements cloud pour identifier les services exposés, les erreurs de configuration et les droits excessifs qu'un attaquant pourrait exploiter.

5-10 jours
Rapport détaillé avec plan de remédiation
À partir de 4 000€ HT
Pentest Cloud

Objectifs

Atteignez vos objectifs de sécurité

  • Identifier les services cloud exposés ou mal configurés pouvant être exploités à distance.
  • Évaluer les droits et privilèges accordés aux utilisateurs, rôles ou applications.
  • Détecter les failles permettant un accès non autorisé à des ressources sensibles.
  • Proposer des actions correctives pour renforcer la sécurité de votre environnement cloud.

Le pentest cloud simule un attaquant disposant d'un accès limité à vos environnements pour déterminer s'il peut obtenir des droits d'administrateur et accéder à des ressources sensibles.

Nous évaluons la gestion des droits d'accès, la sécurité des services déployés (stockage, bases de données, exécution de code) et les possibilités pour un attaquant de progresser vers des ressources critiques.

Notre expertise est certifiée CARTP (Certified Azure Red Team Professional) avec une spécialisation sur les architectures Microsoft Azure et Entra ID. Nous intervenons également sur d'autres environnements cloud.

Contactez-nous pour un premier échange gratuit.

Méthodologie

Étapes de la mission

Un processus structuré, de la préparation à la restitution.

01

Cadrage

  • Définition des objectifs de test et du périmètre cible
  • Prise en compte du contexte technique et métier
  • Planification des tests selon vos contraintes
02

Scan

  • Identification des services exposés et des points d'entrée
  • Analyse des configurations de droits d'accès, réseau et stockage
  • Évaluation des rôles et permissions attribués
03

Exploitation & Analyse

  • Exploitation de droits d'accès trop permissifs (abus de permissions)
  • Tentatives d'accès non autorisé aux ressources sensibles
  • Évaluation de l'impact réel des failles découvertes
04

Synthèse

  • Analyse des risques liés aux vulnérabilités découvertes
  • Présentation du rapport et restitution orale
  • Recommandations concrètes et priorisées
05

Re-test (optionnel)

  • Nouvelle phase de test pour valider l'efficacité des corrections appliquées
  • Mise à jour du rapport si nécessaire

Livrables

Rapport de sécurité

Un rapport complet vous est remis à l'issue de la mission :

  • Rapport de sécurité avec synthèse exécutive pour la direction
  • Détail technique de chaque vulnérabilité avec preuves (captures d'écran)
  • Recommandations de correction adaptées à votre contexte
  • Plan d'action Excel pour le suivi opérationnel des corrections
  • Restitution orale avec mindmap des chemins d'attaque
  • Re-test optionnel pour valider vos corrections

Illustration

Exemple de mission

Contexte et résultats adaptés à des fins d’illustration et de confidentialité.

Durée

5 jours

Client

Prestataire informatique

Projet

Pentest Cloud : Prestataire informatique

Un prestataire informatique a migré ses applications et son stockage vers Azure. Il héberge des données clients et souhaite vérifier les conséquences d’un compte compromis avant de présenter les résultats de ses tests à ses donneurs d’ordre.

Le pentest commence avec un compte en lecture seule sur un abonnement et porte sur les ressources Azure, les identités applicatives et les accès aux secrets de cet environnement.

Résultats

  • Une identité applicative disposait de droits de lecture excessifs sur les secrets du coffre Key Vault
  • Une faille applicative exposait un fichier de configuration contenant le secret de cette identité applicative
  • Paramètres de sécurité par défaut désactivés et règles d'accès conditionnel mal configurées
  • Aucune alerte configurée sur les actions sensibles : un changement de droits ou un accès au coffre-fort passerait inaperçu
  • Règles réseau trop permissives exposant des services internes à Internet
  • Ressources de production supprimables sans contrôle ni validation

Recommandations

  • Limiter les droits de chaque application au strict nécessaire
  • Corriger l’exposition du fichier de configuration et remplacer les secrets compromis
  • Réactiver les paramètres de sécurité par défaut ou corriger les règles d'accès conditionnel
  • Restreindre les connexions aux pays autorisés uniquement
  • Vérifier régulièrement les droits attribués à chaque compte et application
Voir l’exemple de mission
Voir tous les exemples de missions

Questions fréquentes

Tout ce que vous devez savoir sur notre service Pentest Cloud.

Notre certification CARTP porte sur Azure, mais nous intervenons aussi sur d'autres plateformes cloud en complément de Microsoft Azure et Entra ID.

Les services concernés sont étudiés lors du cadrage pour adapter la préparation et les tests aux technologies utilisées et aux objectifs de la mission.

Nous partons d'un compte utilisateur avec des droits limités, comme le ferait un attaquant ayant obtenu un premier accès. Nous vérifions s'il est possible d'accéder à des données ou des services auxquels ce compte ne devrait pas avoir accès.

Les tests sont préparés avec vous pour limiter le risque d'impact sur la production.

Le cadrage définit les actions autorisées et les exclusions, ainsi que les éventuelles modifications nécessaires aux tests et leurs modalités de retrait.

Le rapport inclut une synthèse pour la direction, le détail de chaque faille avec son niveau de gravité, l'impact concret sur votre activité et des recommandations de correction priorisées.

Prêt à sécuriser votre entreprise ?

Contactez-nous pour un premier échange gratuit et un devis adapté à vos besoins.

Demander un devis Voir les services