Pour nos clients, qui ne possèdent souvent pas de formation technique approfondie, le jargon utilisé dans le domaine de l’ethical hacking peut ressembler à un labyrinthe incompréhensible. Comprendre la signification de concepts tels que vulnérabilité, exploit, payload et TTPs facilitera non seulement la communication avec nos experts en sécurité, mais vous apportera également une meilleure conscience des risques et des stratégies de défense adoptées.

Ce guide est né précisément avec l’objectif de rendre accessibles les termes techniques les plus courants dans le domaine de l’ethical hacking, en comblant le fossé communicationnel entre vous et les fournisseurs de services de sécurité.

Continuez votre lecture et, en quelques minutes, ce « jargon mystérieux » deviendra un allié pour votre sécurité !

---

Analysons certains des termes fondamentaux que vous rencontrerez le plus fréquemment : nous tenterons de les expliquer de manière simple et intuitive, en utilisant également des analogies pour en faciliter la compréhension.

A

Attaque par force brute (Brute Force) : une tentative de deviner un mot de passe, une clé de chiffrement ou de trouver une page web cachée en essayant systématiquement toutes les combinaisons possibles. Les ethical hackers utilisent des outils automatisés pour simuler des attaques par force brute sur les mots de passe et autres mécanismes d’authentification afin d’évaluer leur robustesse.

Active Directory (AD) : un service d’annuaire développé par Microsoft pour les réseaux de domaine. Il s’agit d’une cible critique pour les attaquants et souvent l’objet de techniques d’ethical hacking spécifiques. Pour approfondir les techniques offensives les plus courantes, consultez le guide sur Active Directory et les techniques d’ethical hacking.

Advanced Persistent Threat (APT) : une attaque sophistiquée et prolongée dans le temps, menée par un acteur (souvent étatique ou bien organisé) avec l’objectif de s’infiltrer dans un système et d’y rester caché pendant une longue période, en dérobant des informations sensibles. La formation spécifique sur l’APT est une mesure de sécurité importante.

AS-REP Roasting : une attaque qui vise à obtenir les mots de passe des utilisateurs qui ne nécessitent pas la pré-authentification Kerberos. Les ethical hackers recherchent des utilisateurs configurés de manière vulnérable pour tenter de déchiffrer leurs mots de passe hors ligne.

Audit : un processus systématique et indépendant visant à évaluer l’efficacité des contrôles de sécurité d’une organisation. L’audit est crucial dans l’analyse des résultats de l’ethical hacking pour reconstruire les parcours d’attaque.

Authentification : le processus de vérification de l’identité d’un utilisateur, d’un appareil ou d’une application avant d’accorder l’accès à des ressources ou des services. L’authentification hors bande (out-of-band) utilise deux canaux de communication séparés pour une sécurité accrue.

B

Backdoor (Porte dérobée) : une méthode secrète pour contourner les procédures d’authentification normales et accéder à un système ou à une application. Elle peut être intentionnellement insérée à des fins légitimes (par exemple, la maintenance) ou malicieusement par un attaquant pour garantir un accès futur.

Blue Team : il s’agit de l’équipe de défense interne d’une organisation, responsable du maintien de la sécurité des systèmes et de la réponse aux incidents. Lors d’un test TIBER-EU, la Blue Team crée un rapport sur ses propres actions.

Botnet : un réseau d’ordinateurs (ou d’autres appareils connectés à Internet) infectés par des logiciels malveillants et contrôlés par un seul attaquant (le « bot herder ») à l’insu des propriétaires. Les botnets sont souvent utilisés pour lancer des attaques DDoS ou pour distribuer du spam et des logiciels malveillants.

Bug Bounty : un programme proposé par certaines organisations qui récompensent les ethical hackers externes pour la découverte et le signalement de vulnérabilités dans leurs systèmes.

Business Continuity Plan (BCP) : un plan documenté qui décrit comment une organisation continuera à fonctionner en cas d’interruption significative, y compris les catastrophes naturelles, les cyberattaques ou d’autres urgences.

C

Certified Ethical Hacker (CEH) : une certification reconnue dans le secteur de l’ethical hacking qui atteste de la connaissance des techniques et des outils utilisés par les attaquants.

Compromission : le résultat d’une cyberattaque réussie, dans laquelle un système, un compte ou des données ont été consultés, modifiés ou volés par des personnes non autorisées. L’objectif de l’ethical hacking est d’identifier les chemins qu’un attaquant pourrait suivre pour obtenir une compromission.

Continuous Monitoring (Surveillance continue) : le processus de surveillance constante de la sécurité d’un système ou d’un réseau pour détecter des activités suspectes ou des vulnérabilités. Une stratégie de surveillance continue est essentielle pour la sécurité.

Contrôle d’accès : les mécanismes et les politiques mis en œuvre pour limiter l’accès aux ressources et aux informations aux seuls utilisateurs autorisés.

Control Team (CT) : dans un test TIBER-EU, la CT est responsable de la supervision et du contrôle de l’ensemble du processus de test. La Control Team Guidance (CTG) fournit des indications pour la constitution et le fonctionnement de la CT.

Chiffrement : le processus de transformation d’informations dans un format illisible (texte chiffré) pour en protéger la confidentialité. Le chiffrement est une mesure de sécurité fondamentale mentionnée dans le contexte des exigences de sécurité TIC.

Cybersécurité : l’ensemble des pratiques et des technologies visant à protéger les systèmes informatiques, les réseaux, les programmes et les données contre les accès non autorisés, les dommages, les modifications ou les destructions. L’ethical hacking fait partie intégrante d’une stratégie de cybersécurité plus large.

Cyber Threat Intelligence (CTI) : l’ensemble des informations collectées, traitées et analysées sur les cybermenaces existantes et potentielles, y compris les auteurs des menaces, leurs motivations, leurs capacités et leurs TTPs. La CTI est fondamentale pour l’ethical hacking basé sur des menaces réelles comme le TLPT (Threat-Led Penetration Testing).

D

Data Breach (Violation de données) : un incident de sécurité dans lequel des informations sensibles, confidentielles ou protégées sont copiées, transmises, visualisées, utilisées ou volées par des individus non autorisés. L’expérience dérivée des incidents de sécurité ou des violations doit être intégrée dans la formation. Les Indicateurs de compromission (IOC) peuvent révéler une violation de données.

Faiblesses de conception : lacunes dans la logique de fonctionnement d’un système qui peuvent être exploitées.

Défense en profondeur (Defense in Depth) : une stratégie de sécurité qui met en œuvre plusieurs niveaux de contrôles de sécurité, de sorte que si un contrôle échoue, les autres puissent toujours assurer une protection.

Denial of Service (DoS) : un type d’attaque qui vise à rendre un système, un service ou une ressource réseau indisponible pour les utilisateurs légitimes, en le surchargeant de trafic ou en exploitant des vulnérabilités.

Résilience opérationnelle numérique : la capacité d’une organisation à construire, sécuriser et réviser son intégrité opérationnelle numérique, tout en maintenant la capacité de fournir des services pendant et après des interruptions. Le Digital Operational Resilience Act (DORA) est un cadre réglementaire pertinent.

DORA (Digital Operational Resilience Act) : un règlement européen visant à renforcer la résilience opérationnelle numérique du secteur financier. Les exigences TLPT de DORA peuvent être satisfaites avec le cadre TIBER-EU.

E

Erreurs de configuration : systèmes ou applications mal configurés qui laissent des portes d’accès ouvertes ou utilisent des paramètres par défaut non sécurisés.

Erreurs de programmation : bugs dans le code logiciel qui peuvent être exploités pour exécuter du code arbitraire.

Ethical Hacking : l’acte de simuler des cyberattaques pour identifier des vulnérabilités dans un système ou un réseau, avec la permission du propriétaire et dans le but d’améliorer la sécurité. L’ethical hacking se distingue par sa nature proactive. Si vous souhaitez comprendre comment un service d’ethical hacking structuré peut être appliqué à votre organisation, l’équipe ISGroup travaille avec une Tiger Team qui analyse l’infrastructure, les procédures et la sécurité physique en simulant des scénarios réalistes.

Exploit : un exploit est un morceau de code, une séquence de commandes ou une technique qui exploite une faiblesse ou une vulnérabilité spécifique présente dans un système informatique, une application logicielle ou un matériel. Imaginez une serrure défectueuse (la vulnérabilité) sur une porte. Lors d’une activité d’ethical hacking, l’objectif est souvent d’identifier les vulnérabilités et, dans certains cas, de démontrer leur exploitabilité par la création ou l’utilisation d’exploits. Cela permet au client de comprendre l’impact réel qu’une faiblesse donnée pourrait avoir si elle était exploitée par un attaquant malveillant.

F

Firewall (Pare-feu) : un système de sécurité qui surveille et contrôle le trafic réseau entrant et sortant, bloquant les communications non autorisées selon des règles prédéfinies.

Suivi (Follow-up) : le terme « suivi » fait référence aux actions entreprises après un événement initial, une évaluation, un retour d’information ou une recommandation, afin de garantir que les mesures nécessaires sont terminées, que les problèmes sont résolus et que les résultats attendus sont atteints.

Framework (Cadre de travail) : une structure conceptuelle ou un ensemble de lignes directrices qui fournissent une approche structurée pour aborder un problème ou mettre en œuvre un processus. Dans l’ethical hacking, il existe différents cadres tels que MITRE ATT&CK, TIBER-EU, NIST SP 800-53 et CBEST qui guident les activités de test et d’évaluation de la sécurité.

G

RGPD (Règlement général sur la protection des données) : ceci est mentionné dans le contexte de la garantie que le processus d’approvisionnement des fournisseurs de renseignement sur les menaces est conforme aux réglementations sur la protection des données.

Golden ticket : un ticket Kerberos forgé qui permet à l’attaquant de s’authentifier auprès de n’importe quel service au sein du domaine Active Directory. Les ethical hackers cherchent des moyens de créer ou de voler ces tickets pour évaluer la robustesse du système d’authentification.

H

Hacker (Éthique/White Hat) : un expert en cybersécurité qui utilise ses compétences pour identifier et exploiter les vulnérabilités des systèmes informatiques avec la permission du propriétaire, afin d’améliorer la sécurité. Il se distingue des hackers « black hat » (cybercriminels) et « grey hat » (qui opèrent dans une zone grise entre éthique et illégalité).

HUMINT (Human Intelligence) : informations recueillies auprès de sources humaines. Dans l’ethical hacking, cela peut inclure l’analyse d’interactions d’ingénierie sociale ou des informations obtenues auprès d’experts du secteur.

I

Réponse aux incidents (Incident Response) : l’ensemble des procédures et des actions entreprises pour identifier, contenir, éliminer et se remettre d’un incident de cybersécurité. Un processus de suivi formel est nécessaire dans la gestion des incidents TIC.

Indicateur de compromission (IOC) : un artefact ou un signal indiquant qu’un système ou un réseau pourrait avoir été compromis par une cyberattaque. Les IOC peuvent inclure des adresses IP malveillantes ou des modèles de trafic suspects.

Sécurité de l’information : la protection des informations et des systèmes informatiques contre les accès non autorisés, l’utilisation, la divulgation, l’interruption, la modification ou la destruction. Un plan de sécurité de l’information est un élément clé.

Ingénierie sociale (Social Engineering) : l’art de manipuler les personnes pour obtenir des informations confidentielles ou pour les inciter à effectuer des actions qui pourraient compromettre la sécurité. Les attaques de phishing sont un exemple courant d’ingénierie sociale. Les ethical hackers simulent ces techniques pour évaluer le « pare-feu humain » d’une organisation. Pour comprendre à quel point le facteur humain affecte la surface d’attaque, lisez l’approfondissement sur le rôle de l’ingénierie sociale dans l’ethical hacking.

K

Kerberoasting : une technique d’attaque ciblant les Service Principal Names (SPN) dans Active Directory pour obtenir les mots de passe des comptes de service.

Keylogger : un logiciel ou un matériel qui enregistre secrètement les séquences de touches frappées sur un clavier, permettant à un attaquant de voler des mots de passe, des informations personnelles ou d’autres données sensibles.

L

Mouvement latéral (Lateral Movement) : les techniques utilisées par un attaquant après avoir compromis un système initial pour se déplacer à travers le réseau et accéder à d’autres systèmes de valeur. Les ethical hackers simulent le mouvement latéral pour évaluer la facilité avec laquelle un attaquant peut étendre sa présence au sein de l’infrastructure.

Journalisation (Logging) : l’enregistrement détaillé des événements qui se produisent dans un système informatique ou un réseau. Les journaux (logs) sont fondamentaux pour l’analyse des résultats de l’ethical hacking et pour la résilience opérationnelle. La protection des informations d’audit est un contrôle de sécurité.

M

Logiciel malveillant (Malware) : logiciel conçu pour causer des dommages à un système informatique, voler des informations ou obtenir un accès non autorisé. Il inclut les virus, vers, chevaux de Troie, rançongiciels et logiciels espions. L’ethical hacking vise à identifier les vulnérabilités qui pourraient être exploitées pour installer des logiciels malveillants.

Attaque Man-in-the-Middle (MitM) : une attaque dans laquelle un malfaiteur s’interpose secrètement entre deux parties qui communiquent, interceptant et potentiellement altérant les informations échangées. Les ethical hackers recherchent des vulnérabilités qui pourraient permettre l’exécution d’attaques MitM pour évaluer la sécurité des communications réseau. L’authentification hors bande est une technique qui peut atténuer ces attaques.

Atténuation : l’ensemble des actions entreprises pour réduire l’impact ou la probabilité d’une menace ou d’une vulnérabilité.

N

NIST SP 800-53 : un ensemble de normes et de lignes directrices publiées par le National Institute of Standards and Technology (NIST) américain, qui fournissent un catalogue de contrôles de sécurité et de confidentialité pour les systèmes informatiques et les organisations fédérales. Ce cadre soutient la gestion des risques et la conformité.

O

OSINT (Open Source Intelligence) : le renseignement obtenu à partir de sources d’information accessibles au public, telles que les sites web, les réseaux sociaux et les articles de presse. L’OSINT est utilisée dans la phase de reconnaissance de l’ethical hacking et dans le renseignement sur les menaces.

P

Password Spraying : une attaque par force brute « légère » qui consiste à essayer un petit nombre de mots de passe courants sur un grand nombre de comptes. Les ethical hackers simulent cette attaque pour vérifier si les politiques de mots de passe de l’entreprise sont efficaces pour prévenir les compromissions.

Payload (Charge utile) : le payload est la partie d’un exploit qui contient le code malveillant ou les instructions que l’attaquant souhaite exécuter sur le système cible après l’avoir compromis avec succès (prenons par exemple une serrure : l’exploit est le crochet, tandis que le payload est ce que le voleur fait une fois entré, c’est-à-dire voler des informations, installer des logiciels malveillants ou prendre le contrôle du système).

Dans le cadre de l’ethical hacking, le payload utilisé lors des tests est généralement sûr et contrôlé, conçu pour démontrer la compromission réussie sans causer de dommages réels. L’objectif est de montrer au client quelles actions un attaquant pourrait entreprendre une fois l’accès au système obtenu.

Penetration Testing (Pentest) : un test de sécurité actif dans lequel les ethical hackers tentent d’exploiter les vulnérabilités d’un système ou d’un réseau pour en évaluer la sécurité. Le penetration testing est une méthodologie de base de l’ethical hacking.

Phishing (Hameçonnage) : un type d’attaque d’ingénierie sociale dans lequel les attaquants envoient des e-mails, des messages ou passent des appels frauduleux pour tenter de tromper les victimes et les inciter à révéler des informations sensibles ou à effectuer des actions dommageables.

Privilege escalation (Élévation de privilèges) : une technique utilisée par les attaquants pour obtenir un niveau d’accès supérieur à celui initialement compromis, leur permettant d’effectuer des actions plus dommageables.

Provenance : l’historique de l’origine, du développement, de la propriété, de l’emplacement et des modifications apportées à un système ou à un composant. La provenance est un aspect important de la gestion des risques de la chaîne d’approvisionnement.

R

Red Team : une équipe d’experts en cybersécurité qui simule les tactiques et les techniques d’attaque d’adversaires réels pour tester la capacité de défense d’une organisation (la blue team). Les exercices de red teaming sont des simulations d’attaques plus complexes et réalistes que les simples tests de pénétration. Le Red Team Test Plan (RTTP) décrit les modalités opérationnelles de la red team dans un test TIBER-EU, tandis que le Red Team Test Report (RTTR) documente leurs activités et les résultats.

Remédiation : le processus de correction des vulnérabilités identifiées pour réduire le risque d’exploitation. Un plan de remédiation (RP), tel que celui prévu dans le cadre TIBER-EU, définit les actions nécessaires pour résoudre les faiblesses constatées.

Résilience opérationnelle numérique : la capacité d’une organisation à maintenir son activité et à se remettre rapidement des cyberincidents. L’ethical hacking contribue à améliorer la résilience opérationnelle en identifiant et en aidant à corriger les faiblesses. Le Digital Operational Resilience Act (DORA) est une réglementation européenne visant à renforcer la résilience opérationnelle numérique dans le secteur financier.

Risque (informatique) : la probabilité qu’une menace puisse exploiter une vulnérabilité causant un impact négatif sur l’organisation. L’ethical hacking aide à évaluer et à mieux comprendre les risques informatiques.

Stratégie de gestion des risques : un plan global pour identifier, évaluer et atténuer les risques. L’ethical hacking fournit des informations précieuses pour informer la stratégie de gestion des risques d’une organisation.

S

SIEM (Security Information and Event Management) : un système logiciel qui collecte et analyse les journaux de sécurité provenant de différentes sources (telles que les systèmes d’exploitation, les applications et les périphériques réseau) pour identifier les menaces et les anomalies.

Silver ticket : un ticket Kerberos forgé qui permet à l’attaquant d’accéder à un service spécifique au sein du domaine Active Directory (contrairement au Golden Ticket qui est valable pour tous les services). Les ethical hackers recherchent des vulnérabilités permettant la création de Silver Tickets pour évaluer la sécurité des services individuels.

Attaque de la chaîne d’approvisionnement (Supply Chain Attack) : une cyberattaque qui cible les fournisseurs, les partenaires ou d’autres éléments de la chaîne d’approvisionnement d’une organisation pour compromettre la cible principale. La gestion des risques de la chaîne d’approvisionnement est de plus en plus importante.

Inventaire des systèmes : une liste complète de tout le matériel, les logiciels et autres composants informatiques d’une organisation. Un inventaire des systèmes est un contrôle de sécurité fondamental.

T

Threat actor (Acteur de la menace) : un individu ou un groupe ayant l’intention et la capacité de mener une cyberattaque. Comprendre les acteurs de la menace et leurs TTPs est fondamental pour un ethical hacking efficace.

Threat Intelligence : voir Cyber Threat Intelligence (CTI).

Threat-Led Penetration Testing (TLPT) : Les ethical hackers, lors d’un Threat-Led Penetration Testing (TLPT), simulent des attaques basées sur le renseignement sur les menaces, c’est-à-dire des informations sur les menaces réelles et les TTPs utilisées par des groupes d’attaquants spécifiques. Il s’agit d’une méthodologie avancée d’ethical hacking qui utilise le renseignement sur les menaces pour simuler des attaques réalistes basées sur les menaces les plus probables pour une organisation spécifique.

TTPs (Tactiques, Techniques et Procédures) : les comportements et les méthodes spécifiques que les attaquants utilisent lors d’une cyberattaque. Comprendre les TTPs des acteurs de la menace est essentiel pour simuler des attaques réalistes dans l’ethical hacking.

V

Vulnérabilité : une vulnérabilité est une faiblesse, un défaut de conception ou une erreur d’implémentation présente dans un système informatique, une application logicielle, un matériel ou même une procédure de sécurité qui pourrait être exploitée par un attaquant pour compromettre la confidentialité, l’intégrité ou la disponibilité de ce système ou de cette application.

Vulnerability assessment (Évaluation des vulnérabilités) : le processus d’identification, de quantification et de classification des vulnérabilités de sécurité dans un système ou un réseau. Contrairement au penetration testing, l’évaluation des vulnérabilités n’inclut pas toujours l’exploitation active des faiblesses.

Vulnérabilités humaines : erreurs commises par les utilisateurs, comme tomber victime d’attaques d’ingénierie sociale (manipulation psychologique pour obtenir des informations ou un accès) comme le phishing.

Z

Vulnérabilité Zero-Day : une vulnérabilité logicielle qui a été découverte mais n’a pas encore été corrigée par un correctif du fournisseur. Les exploits qui ciblent les vulnérabilités zero-day peuvent être particulièrement dangereux car il n’existe aucune défense immédiate disponible.

Ethical Hacking : pourquoi connaître les termes fait la différence

Une meilleure compréhension du jargon technique permet de participer de manière plus informée aux discussions, de mieux évaluer les risques et de prendre des décisions plus conscientes concernant sa propre stratégie de sécurité.

Investir dans la compréhension de ces termes n’est pas seulement un exercice académique. Une base solide de connaissances du langage de la cybersécurité permet de :

• Améliorer la communication qui facilite l’échange d’informations entre clients et fournisseurs de services, réduisant les malentendus et les inefficacités.
• Comprendre les risques : c’est-à-dire acquérir une meilleure conscience des cybermenaces et des vulnérabilités qui peuvent exposer votre organisation.
• Évaluer les résultats : interpréter correctement les rapports d’ethical hacking et comprendre l’impact des vulnérabilités identifiées.
• Participer activement : être en mesure de contribuer de manière significative aux décisions concernant la stratégie de sécurité et les plans de remédiation.
• Augmenter la confiance avec les partenaires de cybersécurité, basée sur une compréhension mutuelle des objectifs et des défis.

Si vous souhaitez approfondir la manière dont ces concepts se traduisent dans la pratique, vous pouvez lire le cas réel d’ethical hacking d’entreprise avec le cas Acmebank, qui montre comment un engagement structuré est mené du début à la fin.

Questions fréquentes sur l’ethical hacking

• Quelle est la différence entre l’ethical hacking et le penetration testing ?
• Le penetration testing est l’une des activités qui relève de l’ethical hacking : il se concentre sur la tentative active d’exploiter des vulnérabilités spécifiques dans un périmètre défini. L’ethical hacking est un concept plus large qui peut également inclure des simulations d’ingénierie sociale, l’analyse physique des accès, le red teaming et le renseignement sur les menaces, avec l’objectif de reproduire le comportement d’un attaquant réel dans sa totalité.
• Que se passe-t-il concrètement lors d’un engagement d’ethical hacking ?
• Un engagement typique se déroule en plusieurs phases : reconnaissance (collecte d’informations sur la cible), identification des vulnérabilités, tentative contrôlée d’exploitation, documentation des parcours d’attaque et production d’un rapport avec des recommandations de remédiation. Tout se déroule avec le consentement explicite de l’organisation et dans un périmètre convenu.
• Qui peut demander un service d’ethical hacking ?
• Toute organisation qui souhaite vérifier de manière proactive la solidité de son infrastructure informatique, de ses applications ou de ses processus internes. Ce n’est pas réservé aux grandes entreprises : même les PME avec des systèmes critiques ou des données sensibles tirent profit d’une évaluation menée avec des méthodologies offensives contrôlées.

[Callforaction-EH-Footer]