Déroulement d'un test d'intrusion, étape par étapeHow a penetration test unfolds, step by step
Une mission de test d'intrusion suit un déroulé stable, quelle que soit la cible. Comprendre ces étapes aide à préparer l'intervention, à mobiliser les bons interlocuteurs et à éviter les malentendus sur ce qui sera livré. Le point de départ n'est jamais technique : c'est l'autorisation écrite du propriétaire des systèmes, sans laquelle aucune action ne peut légitimement être conduite.A penetration testing engagement follows a stable sequence, whatever the target. Understanding these steps helps prepare the work, mobilise the right people and avoid misunderstandings about what will be delivered. The starting point is never technical: it is the written authorisation of the system owner, without which no action can legitimately be carried out.
Cadrage, autorisation et règles d'engagementScoping, authorisation and rules of engagement
La première phase fixe les objectifs, le périmètre précis, le niveau d'information transmis, la fenêtre d'intervention et les exclusions. Elle produit un mandat écrit signé par le propriétaire des systèmes, condition indispensable de la légalité de l'intervention. Les règles d'engagement précisent les actions autorisées, les seuils à ne pas franchir, le canal de contact permanent et la procédure d'arrêt immédiat. Si des actifs sont hébergés chez un tiers, son accord doit être obtenu séparément.The first phase sets objectives, the precise scope, the level of information provided, the time window and the exclusions. It produces a written authorisation signed by the system owner, an indispensable condition for the legality of the engagement. The rules of engagement state the permitted actions, the thresholds not to cross, the permanent contact channel and the immediate stop procedure. Where assets are hosted by a third party, that party's agreement must be obtained separately.
- Mandat écrit signé par le propriétaire des systèmes, sans exception
- Périmètre, exclusions et fenêtre d'intervention formalisés
- Accord distinct de l'hébergeur ou de l'infogérant si nécessaire
- Canal de contact permanent et procédure d'arrêt immédiat
- Written authorisation signed by the system owner, without exception
- Scope, exclusions and time window formally documented
- Separate agreement from the host or managed service provider if needed
- Permanent contact channel and immediate stop procedure
Reconnaissance, analyse et exploitation contrôléeReconnaissance, analysis and controlled exploitation
L'équipe cartographie ensuite le périmètre autorisé, identifie les composants, les points d'entrée et les mécanismes d'authentification, puis analyse les faiblesses plausibles. L'exploitation est la phase qui distingue un pentest d'un simple scan : elle vise à confirmer qu'une faiblesse est réellement exploitable et à mesurer son impact, sans jamais aller au-delà de ce qui est nécessaire pour établir la preuve. Toutes les actions sont journalisées afin que le client puisse les reconstituer à posteriori.The team then maps the authorised scope, identifies components, entry points and authentication mechanisms, and analyses plausible weaknesses. Exploitation is the phase that distinguishes a pentest from a mere scan: it confirms that a weakness is genuinely exploitable and measures its impact, without ever going beyond what is needed to establish the proof. All actions are logged so the client can reconstruct them afterwards.
- Cartographie limitée au périmètre explicitement autorisé
- Exploitation strictement nécessaire à la démonstration de l'impact
- Journalisation complète des actions menées, horodatée
- Signalement immédiat d'une découverte critique, sans attendre le rapport
- Mapping strictly limited to the explicitly authorised scope
- Exploitation limited to what is needed to demonstrate impact
- Complete, timestamped logging of all actions performed
- Immediate notification of a critical finding, without waiting for the report
Restitution, remédiation et contre-testReporting, remediation and retest
La mission se conclut par un rapport comportant une synthèse pour la direction et une partie technique détaillée, chaque constat étant décrit avec son impact, sa probabilité et une recommandation actionnable. Une réunion de restitution permet d'arbitrer les priorités avec vos équipes. Après correction, un contre-test valide que les points traités le sont effectivement, ce qui transforme le rapport en plan d'action mesurable. C'est exactement la démarche que S2I Consulting applique sur ses missions internes comme externes.The engagement ends with a report combining an executive summary and a detailed technical section, each finding described with its impact, its likelihood and an actionable recommendation. A debrief meeting lets you arbitrate priorities with your teams. After remediation, a retest confirms that the items addressed really are fixed, turning the report into a measurable action plan. This is precisely the approach S2I Consulting applies on internal and external engagements alike.
- Synthèse pour la direction et partie technique détaillée
- Constats hiérarchisés par impact et probabilité, pas seulement par gravité théorique
- Réunion de restitution pour arbitrer les priorités avec les équipes
- Contre-test après correction, inclus dans la démarche S2I
- Executive summary plus a detailed technical section
- Findings ranked by impact and likelihood, not by theoretical severity alone
- Debrief meeting to arbitrate priorities with the teams
- Retest after remediation, part of the S2I approach
Repères de configurationConfiguration guidance
Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).
Questions fréquentesFrequently asked questions
Un besoin précis à chiffrer ?A specific need to quote?
Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.