Pentest interne ou externe : lequel choisir en prioritéInternal or external pentest: which one to prioritise first
Interne et externe ne désignent pas deux niveaux de difficulté mais deux hypothèses de départ. L'externe se place du point de vue d'un attaquant sur Internet qui ne dispose d'aucun accès. L'interne part du principe qu'un accès au réseau a déjà été obtenu, par exemple via un poste compromis ou un prestataire. Les deux répondent à des questions différentes et ne se remplacent pas.Internal and external do not describe two levels of difficulty but two starting assumptions. The external test takes the viewpoint of an attacker on the Internet with no access at all. The internal test assumes network access has already been obtained, for instance through a compromised workstation or a supplier. They answer different questions and do not replace each other.
Le pentest externe : ce que voit InternetThe external pentest: what the Internet can see
Le test externe évalue tout ce qui est exposé publiquement : sites et applications web, portails d'accès distant, services de messagerie, interfaces d'administration involontairement publiées, actifs cloud, et plus largement les traces laissées par l'organisation. Il révèle souvent des éléments oubliés, un environnement de recette accessible, un service ouvert lors d'un projet ancien, un sous-domaine pointant vers une ressource abandonnée. Son premier apport est une cartographie honnête de la surface réellement exposée.The external test assesses everything publicly exposed: websites and web applications, remote access portals, mail services, administration interfaces unintentionally published, cloud assets, and more broadly the traces the organisation leaves behind. It frequently surfaces forgotten items: an accessible staging environment, a service opened during an old project, a subdomain pointing to an abandoned resource. Its first contribution is an honest map of the surface genuinely exposed.
- Cartographie réelle de la surface exposée, souvent plus large qu'annoncé
- Actifs oubliés : recette accessible, sous-domaines orphelins, services résiduels
- Robustesse des points d'entrée d'accès distant et d'authentification
- Priorité naturelle si aucun test n'a jamais été réalisé
- A real map of the exposed surface, often wider than expected
- Forgotten assets: reachable staging, orphan subdomains, residual services
- Robustness of remote access and authentication entry points
- The natural first priority if no test has ever been performed
Le pentest interne : la question de la propagationThe internal pentest: the propagation question
Le test interne répond à une question précise : si un attaquant obtient un accès au réseau, jusqu'où peut-il aller et en combien de temps. Il évalue la segmentation, la gestion des comptes et des privilèges, la robustesse de l'annuaire, l'exposition des partages, la configuration des postes et des serveurs, ainsi que la capacité de détection de l'équipe. C'est généralement là que se mesure l'écart entre une architecture décrite sur le papier et une architecture telle qu'elle a évolué.The internal test answers a precise question: if an attacker gains network access, how far can they go and how quickly. It assesses segmentation, account and privilege management, directory robustness, share exposure, workstation and server configuration, and the detection capability of the team. This is usually where the gap shows between an architecture as documented and an architecture as it has actually evolved.
- Mesure la propagation possible depuis un accès initial
- Éprouve la segmentation réseau et le cloisonnement des environnements
- Évalue la gestion des comptes à privilèges et des secrets
- Teste indirectement la capacité de détection et de réaction
- Measures how far propagation can go from an initial foothold
- Stresses network segmentation and environment separation
- Assesses privileged account and secret management
- Indirectly tests detection and response capability
Dans quel ordre, et dans quel cadreIn which order, and within which framework
Sans historique de tests, commencer par l'externe donne un premier niveau de maîtrise sur ce qui est visible de tous. Dès que l'exposition est raisonnablement tenue, l'interne devient le test le plus rentable, car il éclaire le scénario le plus fréquent : un poste compromis par hameçonnage. Dans les deux cas, l'intervention se déroule sous mandat écrit du propriétaire des systèmes, avec un périmètre et une fenêtre définis. S2I Consulting réalise les deux types de tests et remet un rapport priorisé assorti d'un contre-test après correction.With no testing history, starting externally gives a first level of control over what is visible to everyone. Once exposure is reasonably managed, the internal test becomes the most cost-effective, because it illuminates the most common scenario: a workstation compromised through phishing. In both cases the engagement runs under written authorisation from the system owner, with a defined scope and time window. S2I Consulting performs both types of test and delivers a prioritised report together with a retest after remediation.
- Sans historique : commencer par l'externe, puis enchaîner sur l'interne
- Exposition maîtrisée : l'interne devient le test le plus rentable
- Mandat écrit, périmètre et fenêtre d'intervention définis dans tous les cas
- S2I couvre interne et externe, avec rapport priorisé et contre-test
- No history: start externally, then move on to the internal test
- Exposure under control: the internal test becomes the best value
- Written authorisation, defined scope and time window in every case
- S2I covers internal and external, with prioritised report and retest
Repères de configurationConfiguration guidance
Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).
Questions fréquentesFrequently asked questions
Un besoin précis à chiffrer ?A specific need to quote?
Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.