Rédiger une autorisation et définir un périmètre (scope)

Un test d'intrusion commence par une feuille de papier. Pas par un scan, pas par un outil : par un document qui dit qui autorise quoi, sur quelles cibles, pendant combien de temps. Cette leçon vous apprend à le rédiger, et vous le rédigerez pour votre propre laboratoire, afin que le réflexe soit acquis le jour où il s'agira d'un vrai client.

Vous savez désormais que l'autorisation écrite est ce qui sépare le test de l'infraction, et vous connaissez les grands types de test. Il s'agit maintenant de matérialiser ces choix. Un document bien écrit protège le client, qui sait exactement ce qui va se passer, et le testeur, qui peut prouver qu'il est resté dans son cadre.

Les éléments d'une autorisation de test

Une autorisation sérieuse contient au minimum :

1. Les parties : le client (nom de l'organisation, représentant légal ou personne habilitée) et le prestataire (nom, personnes intervenantes) ;
2. L'objet et les objectifs : pourquoi ce test, quelle question il doit éclairer ;
3. Le périmètre : ce qui est inclus, ce qui est exclu ;
4. Les techniques autorisées et interdites ;
5. Le calendrier : dates et plages horaires, éventuellement des fenêtres à éviter (clôture comptable, pic d'activité) ;
6. Les contacts : qui appeler si quelque chose se passe mal, y compris la nuit ;
7. La gestion des données : comment les informations sont stockées, chiffrées, supprimées à la fin ;
8. Les conditions d'arrêt et la responsabilité de chacun ;
9. La signature et la date par une personne qui a le pouvoir d'autoriser.

Le périmètre (scope) : dedans, dehors, zone grise

Le périmètre est le cœur du document. Il doit être précis, vérifiable et sans ambiguïté. Dites « les machines dont l'adresse est dans cette plage, listées dans l'annexe », pas « le réseau de l'entreprise ».

• Dans le périmètre : une liste explicite d'adresses IP, de plages, de noms de domaine, d'applications, éventuellement de locaux ou de réseaux Wi-Fi.
• Hors périmètre : tout le reste, et ce que le client a explicitement exclu (par exemple un système de production critique, un service hébergé chez un tiers, les comptes des dirigeants).
• Zone grise : ce qui n'est pas clair. Règle simple : en cas de doute, ce n'est pas dans le périmètre, et vous demandez par écrit.

Un piège classique : un nom de domaine qui renvoie à une adresse appartenant à un hébergeur partagé. L'adresse IP peut héberger des centaines d'autres clients. Scanner « l'adresse » revient à tester des systèmes qui n'ont rien à voir avec votre mission. De même, une redirection vers un site tiers, ou un lien vers un service externe, ne fait pas entrer ce service dans le périmètre.

Les règles d'engagement

Les règles d'engagement précisent comment le test se déroule. Voici des exemples de clauses fréquentes :

• Les attaques par déni de service sont interdites ;
• Aucune modification ni suppression de données en production, sauf création de comptes de test indiqués ;
• L'ingénierie sociale est exclue (ou limitée à des scénarios précis) ;
• Les tests intrusifs se déroulent uniquement en dehors des heures ouvrables ;
• Toute découverte de donnée personnelle sensible ou de faille critique déclenche une notification immédiate au contact désigné ;
• Les identifiants récupérés ne sont pas utilisés au-delà de ce qui est nécessaire pour démontrer la faille.

Ces règles ne sont pas des freins : elles sont la garantie que le client acceptera de recommencer l'année suivante.

Un modèle simplifié pour votre labo

Voici un gabarit de ce que vous pourriez écrire pour votre mission d'entraînement. Il est volontairement court. Il s'applique à un réseau fictif et ne désigne aucune organisation réelle.

AUTORISATION DE TEST D'INTRUSION (mission d'entraînement)

Client (fictif)      : société Verdelune (rôle tenu par moi-même)
Testeur              : moi-même
Date de signature    : (date du jour)
Période autorisée    : du (date) au (date), de 18 h à 23 h

Objectif :
  Évaluer la sécurité du réseau de laboratoire de Verdelune
  et s'entraîner à la méthodologie complète d'un pentest.

Périmètre INCLUS :
  - Réseau virtuel isolé 192.168.56.0/24 (réseau privé d'hôte)
  - Machines : poste d'attaque, serveur-web-lab, serveur-fichiers-lab

Périmètre EXCLU :
  - Ma box Internet, mes autres appareils, tout système tiers
  - Tout accès à Internet depuis les machines vulnérables

Techniques autorisées : énumération, scan, exploitation de failles
connues sur les machines du labo, attaque de mots de passe sur les
comptes du labo.
Techniques interdites : déni de service sur la machine hôte, tout
trafic sortant vers Internet depuis les machines vulnérables.

Conditions d'arrêt : en cas de comportement inattendu de la machine
hôte, arrêt immédiat et restauration d'un instantané.

Signature du client (moi) : ______   Signature du testeur (moi) : ______

Dans une vraie mission, ce document serait signé par deux personnes différentes et accompagné d'un contrat. Mais le principe est identique, et le réflexe de l'écrire avant de toucher quoi que ce soit est précisément ce que vous devez acquérir.

Cas particuliers qui demandent une attention supplémentaire

• L'ingénierie sociale (hameçonnage simulé, appels téléphoniques, intrusion physique) implique des personnes, pas seulement des machines. Elle n'est testée que si le contrat le prévoit noir sur blanc, avec un scénario validé, des règles de protection des employés et un contact qui peut mettre fin à l'exercice à tout moment.
• Les environnements de production comportent de vrais clients, de vraies commandes, de vraies données. On privilégie alors un environnement de recette quand il existe, ou on limite les techniques intrusives et on prévoit des plages horaires adaptées.
• Les données personnelles croisées pendant la mission relèvent du RGPD. Le contrat doit préciser comment elles sont protégées, combien de temps elles sont conservées et comment elles sont détruites.
• Les tests à distance et le télétravail : si l'infrastructure inclut des postes personnels d'employés, ces postes ne font pas automatiquement partie du périmètre.

Plus le contexte est sensible, plus le document doit être précis. Un texte long n'est pas un texte meilleur : l'important est qu'il ne laisse aucune ambiguïté sur les points qui pourraient mal tourner.

Vérifier que l'autorisation est valable

Avant de signer, posez-vous quelques questions de bon sens :

• Le signataire est-il bien habilité ? Un employé qui vous « donne son accord » n'engage pas forcément l'organisation.
• Les systèmes listés appartiennent-ils bien au client ? Qu'en est-il des tiers (hébergeur, prestataire, service en ligne) ?
• Les dates couvrent-elles toute la période de test ? Une autorisation expirée ne vaut rien.
• Les données personnelles rencontrées sont-elles traitées conformément au RGPD ? Le testeur peut devenir sous-traitant au sens de ce règlement.

À vous de jouer : écrivez votre autorisation

Dans votre carnet de mission, rédigez l'autorisation de test de votre labo en vous inspirant du gabarit. Adaptez-la à votre propre configuration : choisissez la plage d'adresses du réseau interne que vous utiliserez, listez les machines, et ajoutez au moins deux règles d'engagement supplémentaires. Puis répondez à ces deux questions : que se passerait-il si une machine du labo était accidentellement connectée à votre réseau domestique ? Quelle clause du document devrait vous alerter ?

Une fois le cadre posé, il est temps de préparer la boîte à outils : c'est l'objet de la leçon suivante.