Test de pénétration - Limitations
En raison du rythme rapide des développements dans le domaine de l'information et de la technologie, le succès des tests d'intrusion est relativement de courte durée. Dans la mesure où une protection accrue des systèmes est requise, vous devez effectuer plus souvent des tests de pénétration afin de réduire la possibilité d'une attaque réussie au niveau apprécié par l'entreprise.
Voici les principales limites des tests de pénétration -
Limitation of Time- Comme nous le savons tous, les tests de pénétration ne sont pas du tout un exercice limité dans le temps; néanmoins, les experts des tests d'intrusion ont alloué un temps fixe pour chaque test. D'un autre côté, les attaquants n'ont aucune contrainte de temps, ils le planifient en une semaine, un mois, voire des années.
Limitation of Scope - De nombreuses organisations ne testent pas tout, en raison de leurs propres limites, y compris les contraintes de ressources, de sécurité, de budget, etc. De même, un testeur a une portée limitée et il doit laisser de nombreuses parties des systèmes qui pourraient être beaucoup plus vulnérable et peut être une niche parfaite pour l'attaquant.
Limitation on Access- Le plus souvent, les testeurs ont un accès limité à l'environnement cible. Par exemple, si une entreprise a effectué le test de pénétration contre ses systèmes DMZ à partir de tous ses réseaux Internet, mais que se passe-t-il si les attaquants attaquent via la passerelle Internet normale.
Limitation of Methods- Il y a des chances que le système cible tombe en panne pendant un test de pénétration, de sorte que certaines des méthodes d'attaque particulières seraient probablement désactivées pour un testeur de pénétration professionnel. Par exemple, produire une inondation de déni de service pour détourner un administrateur système ou réseau d'une autre méthode d'attaque, généralement une tactique idéale pour un vraiment méchant, mais elle est susceptible de tomber en dehors des règles d'engagement pour la plupart des testeurs de pénétration professionnels .
Limitation of Skill-sets of a Penetration Tester- Habituellement, les testeurs de pénétration professionnels sont limités car ils ont des compétences limitées indépendamment de leur expertise et de leur expérience passée. La plupart d'entre eux sont axés sur une technologie particulière et ont une connaissance rare d'autres domaines.
Limitation of Known Exploits- Beaucoup de testeurs ne sont conscients que de ces exploits, qui sont publics. En fait, leur pouvoir imaginatif n'est pas aussi développé que les attaquants. Les attaquants pensent normalement bien au-delà de la pensée d'un testeur et découvrent la faille à attaquer.
Limitation to Experiment- La plupart des testeurs sont limités dans le temps et suivent les instructions déjà données par leur organisation ou par des seniors. Ils n'essaient pas quelque chose de nouveau. Ils ne pensent pas au-delà des instructions données. D'un autre côté, les attaquants sont libres de penser, d'expérimenter et de créer une nouvelle voie d'attaque.
De plus, les tests d'intrusion ne peuvent ni remplacer les tests de sécurité informatique de routine, ni se substituer à une politique de sécurité générale, mais plutôt, les tests d'intrusion complètent les procédures d'examen établies et découvrent de nouvelles menaces.