Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
Parce que… c’est l’épisode 0x337!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Mise en contexte de l’épisode
Cet épisode poursuit la fiction des épisodes précédents de « Cyber avec vous ». La PME victime d’un incident de cybersécurité a éteint le feu et veut bâtir une structure plus robuste pour l’avenir. Plusieurs pistes ont déjà été explorées et la gouvernance est réservée pour la fin. L’entreprise, qui a eu très peur, dispose même d’un budget étonnamment confortable et veut valider que ses systèmes fonctionnent vraiment. L’épisode réunit Thomas Veynachter, Dominique Derrier, Cédric, Steve Lavoie, Mickael Nadeau et Martin Dubé, ce dernier agissant à titre d’expert en tests d’intrusion et autoproclamé spécialiste du poulet shawarma. Il explique comment le red team peut éprouver la solidité de l’ensemble.
Faut-il faire un pen test pendant un incident
La première question posée à Martin est délicate. Faut-il réaliser un test d’intrusion en plein incident ? Sa réponse est non, sauf si l’organisation ignore encore son point d’entrée mais détient des indices clairs d’un compromis. En général, un pen test se situe plutôt avant ou après un incident. Après l’incident, l’application web compromise mérite un examen attentif, car les causes restent tristement banales, notamment des logiciels non mis à jour, de mauvaises configurations ou un fichier de sauvegarde oublié à la racine du site, un classique encore très courant, tout comme le backup de la base de données laissé accessible.
Les fondamentaux qui fonctionnent encore
Martin insiste sur le pare-feu, un contrôle toujours efficace en 2026. Pour un site web, il suffit souvent d’ouvrir les ports 80 et 443 et de fermer le port 22, sans parler de la base de données. Un participant ajoute les règles de pare-feu en sortie, souvent oubliées. Les gens pensent au trafic entrant mais négligent le trafic sortant. Si un serveur n’a pas besoin d’aller surfer sur Netflix, il n’a aucune raison d’avoir une règle de sortie permissive. Martin note aussi que des reverse shells ne fonctionnent pas en présence de règles d’egress.
Le casse-tête de la visibilité en PME
L’animateur partage son expérience d’implantation du filtrage en sortie dans des PME. Quand on creuse les besoins réels, on découvre des employés qui utilisent WeTransfer, d’autres applications et même quelqu’un qui fait du BitTorrent. Le processus révèle vite l’absence d’inventaire, les gens faisant n’importe quoi comme administrateurs de leur poste. Imposer de la structure dans un petit milieu génère beaucoup de friction. Un participant renchérit en soulignant que plusieurs clients se ramassent chez le premier hébergeur bon marché en pensant que la sécurité viendra automatiquement avec le service.
Segmentation réseau et simulation assume breach
Martin aborde ensuite la segmentation réseau. L’attaquant a-t-il réussi à pivoter de l’application web vers le réseau interne ? Dans une PME sans DMZ ni règles de pare-feu, le scénario est plausible. Un test sur l’application web reste pertinent pour comprendre sa surface d’attaque. Un test interne peut aussi être utile en simulant un scénario d’assume breach, en partant du principe qu’un serveur est compromis, puis on vérifie si un attaquant pourrait devenir administrateur du domaine. Dans la fiction, l’équipe ignore si l’attaquant est allé jusque-là, mais on sait que des recettes et de l’information personnelle ont fuité. Aucune demande de rançon n’a été reçue et la recette du poulet est restée secrète.
La sécurité devrait venir par défaut
Martin exprime ensuite sa plus grande frustration face à l’industrie. Pourquoi la sécurité n’est-elle pas intégrée par défaut ? Lorsqu’on achète une auto, elle vient avec des coussins gonflables et des normes, sans qu’on doive y installer un EDR. En informatique, la défense demeure optionnelle, secondaire. Un participant prolonge l’analogie en rappelant qu’il existe un code de la route, un véhicule normé, des certifications et un examen de conduite obligatoire. Tout cet encadrement fait déjà mieux que le bordel informatique actuel.
Ce qu’est réellement un pen test
Un participant demande en quoi consiste un test d’intrusion. Un pen test applicatif explore les vulnérabilités web et les façons dont un attaquant pourrait exploiter l’application pour exfiltrer des données ou élever ses privilèges. Peut-on passer d’utilisateur de base à administrateur avec quelques pirouettes, exporter la base de données, exécuter des commandes, entrer dans le réseau interne et parler aux serveurs de fichiers ? L’objectif est toujours de démontrer un impact concret. La différence avec un VA, ou analyse de vulnérabilités, est fondamentale. Le VA balance la sauce, signale des vulnérabilités en surface et génère beaucoup de faux positifs, mais il ne démontre aucun impact réel.
Un levier de visibilité proactive
Un participant revient sur la visibilité. Un pen test réalisé de façon proactive devient intéressant pour exposer les points faibles et accélérer la résolution lors d’une future panne. Savoir qu’on avait déjà identifié certaines vulnérabilités change le discours et le plan d’attaque. Martin confirme que le test valide les points d’entrée que l’attaquant aurait pu prendre, mais permet aussi d’en découvrir d’autres qui pourraient servir plus tard, surtout pour une application web exposée à Internet.
Corriger les vulnérabilités après le test
Un participant pose ensuite la question qui tue. Une fois le pen test complété, que fait-on ? La réponse est sans appel. Si on fait un pen test uniquement pour des raisons de conformité et pour faire plaisir à l’auditeur, sans l’intention de corriger les bogues découverts, ça ne mène nulle part. Il faut corriger les vulnérabilités et les prioriser dans le temps, en s’attaquant d’abord aux plus critiques. On peut assumer certains risques, mais les enjeux critiques doivent être traités rapidement.
Recommandations finales
Pour clore, Martin résume en trente secondes l’importance des pen tests. Il faut en faire, mais comprendre que ce n’est pas le seul contrôle de sécurité. Un test d’intrusion crée de la visibilité sur ce qu’on possède, mais il ne corrige pas les problèmes à lui seul. Il faut aussi investir dans les bons vieux pare-feu et surtout dans le MFA, l’authentification multifacteur, qui change des vies et rend l’accès aux boîtes de courriel pleines de données beaucoup plus difficile pour les attaquants.
Contributeurs
|
|
|
|
|
|
|
Nicolas-Loïc Fortin
|
Thomas Veynachter
|
Dominique Derrier
| Cédric Boivin |
Martin Dubé
|
Steve Lavoie
|
Mickael Nadeau
|
Crédits
- Montage par Intrasecure inc
- Locaux réels par Claude
Tags: incident, red
