Test d’intrusion Black Box guidé

* Période : Décembre 2023 - Janvier 2024
* Description :
  - Projet universitaire tutoré, sans production technique.
  - Rapport concernant un test d'intrusion mené en environnement Black Box, guidé au niveau des vulnérabilités à rechercher.
* Axes d'amélioration :
  - Reprendre la structure adoptée par le rapport, en analysant notamment des documents de référence et principes de conformité.
  - Approfondir les retours donnés dans le rapport.

L’objectif principal de ce projet était de mener un test d’intrusion dans un environnement Black Box représentatif d’une architecture informatique d’entreprise.
L’environnement mis en place pouvait alors être décomposé selon :

• Un réseau WAN, représentant tous les réseaux externes à l’architecture informatique de l’entreprise auditée (incluant donc un accès à Internet), d’où proviennent alors les menaces communes et extérieures à l’entreprise.
• Un réseau DMZ, incluant tous les systèmes de l’entreprise auditée dont les services sont extériorisés sur le réseau WAN (accessibles depuis Internet).
• Un réseau LAN, incluant tous les systèmes dont l’accès est strictement restreint à l’architecture informatique interne de l’entreprise (inaccessibles depuis Internet).

Dans l’environnement informatique déployé, ces différents réseaux étaient alors séparés par un unique pare-feu pfSense.

Parmi les vulnérabilités découvertes, documentées et exploitées, figurent :

• Des identifiants d’authentification faibles sur les services extériorisés de l’entreprise, dans le cadre d’un accès à des ressources protégées de l’entreprise.
• La vulnérabilité critique Log4j permettant d’exécuter du code distant, identifiée sur le service Apache HTTP du serveur web opérant dans le réseau DMZ de l’entreprise.
• La vulnérabilité DirtyPipe permettant une élévation de privilèges, identifiée sur le serveur web opérant dans le réseau DMZ de l’entreprise.
• L’exécution d’un conteneur Docker avec des privilèges excessifs, permettant à un utilisateur privilégié du conteneur d’interagir avec le système de fichiers du système hôte et créant par défaut un point d’accès au système hôte en tant qu’utilisateur privilégié depuis le conteneur.
• Des identifiants d’authentification laissés par défaut.

Il est important de noter que même si ce test d’intrusion a été réalisé en environnement Black Box, aucun mécanisme de défense actif (IDS/IPS, SOC, etc…) n’était déployé au sein de l’architecture informatique auditée, ce qui a grandement simplifié la découverte des vulnérabilités identifiées et leur exploitation.
Enfin, ayant été constitué en parallèle d’une avalanche de rendus et soutenances de projets, ce rapport aurait dû être mieux structuré et approfondi.
Il y manque notamment une priorisation des recommandations fournies et un format permettant de distinguer précisément ce qui est destiné au corps directif de ce qui est destiné aux équipes techniques de l’entreprise.

Documents et livrables