Rédiger le rapport de pentest complet : structure professionnelle

Un test d'intrusion qui n'aboutit pas à un rapport clair n'a, pour le client, presque aucune valeur : il a payé pour un travail dont il ne peut rien faire. Le rapport est le véritable livrable d'une mission, celui qui doit survivre bien après que vous avez éteint votre machine d'attaque. Cette leçon vous donne une structure professionnelle complète, directement réutilisable pour votre propre mission Verdelune.

Tout au long de ce cours, vous avez tenu un carnet de mission : journal chronologique, fiches de machines, pistes priorisées, constats confirmés ou infirmés, chemins de compromission. Ce chapitre transforme ce matériau brut en un document que quelqu'un d'autre pourra lire, comprendre et utiliser pour agir, même sans vous avoir à ses côtés.

Les deux publics d'un même rapport

Un rapport de pentest professionnel s'adresse presque toujours à deux publics différents, qui ne lisent pas les mêmes sections :

• Les décideurs (direction, responsables non techniques) veulent comprendre l'impact global, le niveau de risque et les priorités, sans détail technique. Ils lisent le résumé.
• Les équipes techniques (administrateurs, développeurs) ont besoin de détails précis, reproductibles, pour corriger chaque faille. Elles lisent le corps détaillé.

Cette double exigence structure tout le document : il doit être lisible en cinq minutes par le premier public, et exploitable en profondeur par le second.

Structure type d'un rapport complet

1. Page de garde : nom de la mission, dates, périmètre en une phrase, mention de confidentialité ;
2. Résumé pour les décideurs (« executive summary ») : une à deux pages, sans jargon technique, qui répond à trois questions : qu'avons-nous testé ? qu'avons-nous trouvé dans l'ensemble ? que faut-il faire en priorité ?
3. Méthodologie : type de test (boîte noire, grise, blanche, vu au chapitre 1), périmètre exact, dates, limites explicites du test (ce qui n'a pas été testé, et pourquoi) ;
4. Synthèse des constats : un tableau récapitulatif, trié par gravité, avec pour chaque constat un identifiant court, un titre, une gravité et un état (confirmé, probable) ;
5. Chemins de compromission : un ou plusieurs scénarios narratifs, comme celui construit au chapitre précédent, qui montrent comment plusieurs failles s'enchaînent ;
6. Détail de chaque constat : pour chaque faille, une fiche complète (voir plus bas) ;
7. Recommandations priorisées : un plan d'action concret, classé par urgence ;
8. Annexes : éléments complémentaires (glossaire, méthodologie détaillée, informations de contact).

La fiche de constat : le cœur du rapport

Chaque faille confirmée mérite une fiche structurée et cohérente d'une faille à l'autre. Voici un gabarit, illustré avec un exemple purement générique :

Identifiant      : VERD-04
Titre            : Base de données accessible depuis l'ensemble du réseau interne
Gravité           : Moyenne (CVSS indicatif : 6,x)
Composant affecté : serveur-web-lab (192.168.56.20), port 3306
Description      : Le service de base de données est joignable depuis
                   n'importe quel poste du réseau interne, sans
                   restriction réseau, alors qu'il ne devrait être
                   accessible que depuis le serveur applicatif.
Impact           : Un attaquant ayant obtenu un accès à n'importe quel
                   poste du réseau interne pourrait tenter de se
                   connecter directement à la base de données,
                   augmentant la surface d'attaque disponible pour
                   une tentative d'accès aux données.
Preuve           : Résultat de scan de ports daté du (date),
                   voir annexe A.
Recommandation   : Restreindre l'accès réseau à ce service au seul
                   serveur applicatif légitime, par une règle de
                   pare-feu dédiée.
Priorité         : Moyenne à élevée selon la grille du chapitre 3.

Remarquez qu'aucune commande d'exploitation n'apparaît : la fiche décrit le constat, son impact et sa correction, exactement comme vous vous êtes entraîné à le faire dans les chapitres précédents.

Rédiger pour convaincre, pas pour impressionner

Un piège fréquent chez les débutants consiste à vouloir démontrer sa technicité en multipliant le jargon et les détails. L'effet obtenu est inverse : le client ne comprend pas, se sent dépassé, et finit par ignorer le rapport. Quelques principes simples améliorent considérablement la lisibilité :

• Une idée par phrase, des phrases courtes ;
• Expliquer l'impact avant la technique : « cette faille permettrait à un attaquant de... » avant « techniquement, le problème vient de... » ;
• Utiliser des visuels simples (schémas, tableaux) pour les chemins de compromission ;
• Éviter les superlatifs non justifiés : un rapport qui qualifie tout de « critique » perd sa crédibilité et sa capacité à distinguer l'urgent de l'important ;
• Rester factuel : distinguer ce qui a été confirmé de ce qui est une hypothèse, exactement comme vous l'avez appris dès le chapitre 2.

Les limites à toujours formuler explicitement

Un rapport honnête précise toujours ses limites : la période testée, le périmètre exact, et le fait qu'une absence de constat ne garantit jamais une absence totale de faille. Une phrase type, à adapter : « Ce rapport reflète l'état de sécurité observé entre le (date) et le (date), sur le périmètre défini en annexe. L'absence de mention d'une faille ne constitue pas une garantie d'absence de vulnérabilité, en particulier pour des éléments hors périmètre ou des failles découvertes après la date du test. » Cette formulation protège à la fois le client, qui comprend la portée réelle du travail, et le testeur, dont la responsabilité est ainsi clairement délimitée.

À vous de jouer : rédiger une fiche de constat complète

En reprenant un constat confirmé ou plausible de votre carnet de mission (chapitres 2 à 6), rédigez une fiche complète sur le modèle ci-dessus : identifiant, titre, gravité, composant affecté, description, impact, preuve (référencez simplement votre carnet), recommandation et priorité. Relisez-la ensuite en vous demandant : une personne qui ne connaît rien à la mission comprendrait-elle l'impact en une seule lecture de la ligne « Impact » ?

Un rapport bien écrit, aussi complet soit-il, ne sert à rien s'il n'est pas bien présenté. La leçon suivante aborde la communication avec le client.