Services de tests d'intrusion au Canada, avec le nouveau test inclus
Ils nous font confiance
Des services de tests d'intrusion qui se terminent par la preuve que le correctif a fonctionné
Une seule équipe canadienne définit la portée du test, le mène manuellement, puis teste de nouveau une fois vos correctifs en place.
Tests d'intrusion réseau
Nous testons de l'extérieur tout ce qui est accessible depuis Internet, et de l'intérieur en partant du portable d'un seul employé, puis nous enchaînons les constats comme le ferait un intrus. Un mot de passe faible peut ainsi mener jusqu'aux droits d'administrateur du domaine.
Tests d'intrusion d'applications Web
Des tests authentifiés pour chaque rôle d'utilisateur, qui couvrent le contrôle d'accès, la logique métier et les API derrière l'application, selon le guide de test de l'OWASP plutôt que selon les vérifications par défaut d'un outil de balayage.
Rapport et nouveau test
Chaque constat montre étape par étape comment nous sommes entrés et se classe selon l'accès qu'il donnerait à un attaquant. Après vos correctifs, nous les testons tous de nouveau. Une courte lettre confirme lesquels sont fermés.
Test d'intrusion ou exercice d'équipe rouge?
Un test d'intrusion cherche à trouver le plus de faiblesses possible dans une portée convenue, au su de votre équipe, alors que l'exercice d'équipe rouge poursuit un seul objectif, comme atteindre les systèmes de paiement, et vérifie si votre surveillance et votre intervention remarquent l'attaque. La plupart des organisations ont d'abord besoin de tests d'intrusion. L'exercice d'équipe rouge se justifie une fois que vous exploitez un centre des opérations de sécurité, à l'interne ou en impartition, et que vous voulez en mesurer l'efficacité.
Test d'intrusion
- Trouve le plus de faiblesses possible dans une portée définie.
- Votre équipe TI sait quand et où les tests ont lieu.
- Mesure à quel point vos systèmes sont exposés en ce moment.
- Attendu chaque année et après un changement majeur selon PCI DSS.
Exercice d'équipe rouge
- Poursuit un seul objectif convenu, par toute voie que les règles autorisent.
- Seules quelques personnes sont au courant, si bien que les défenseurs réagissent normalement.
- Mesure l'efficacité réelle de la détection et de l'intervention.
- Vise les plus grandes banques et sociétés d'assurance selon le cadre TCFR du BSIF.
Vous testez plutôt un agent conversationnel, un copilote ou un agent d'IA? L'injection de prompt et les attaques contre les modèles relèvent de la sécurité de l'IA.
Avec qui allez-vous travailler?
Vous travaillez avec la personne derrière la conception. Saeid Khanipour Ghobadi a fondé SMEnode et conçoit encore l'architecture que les clients achètent. Titulaire du CCIE Data Center et fort de plus de 15 ans en réseau d'entreprise, en centre de données, en infonuagique et en IA appliquée, il cadre chaque mandat et y reste jusqu'à la livraison. Engager SMEnode, c'est engager la personne qui conçoit, pas un diaporama de vente.
Vous prévoyez des tests d'intrusion au Canada? Convenons de la portée
Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.
Votre demande
- Service
- Tests d'intrusion
La suite
- Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
- On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
- Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.
Appelez la ligne 24/7
+1 514-465-1584Que devraient prouver les services de tests d'intrusion au Canada?
Un test ne vaut la peine que si trois conditions sont réunies : les documents préalables, les règles qui l'encadrent et le nouveau test après coup.
L'autorisation passe avant l'accès.
Obtenir des services d'ordinateur ou utiliser un ordinateur frauduleusement et sans apparence de droit, c'est-à-dire sans pouvoir invoquer un droit légitime de le faire, peut constituer une infraction à l'article 342.1 du Code criminel, passible d'un emprisonnement maximal de 10 ans. C'est une autorisation signée qui distingue un test de cette infraction. La nôtre nomme les systèmes, les dates, les techniques et la personne qui a signé pour votre entreprise. Si les systèmes sont chez un hébergeur ou un fournisseur infonuagique, ses conditions s'appliquent aussi.
Les organismes de réglementation fixent leur propre rythme.
PCI DSS v4.0.1 demande aux commerçants de tester le réseau interne et le périmètre exposé à Internet chaque année et après tout changement important. Les prestataires de services vérifient aussi leur segmentation deux fois par année. La ligne directrice B-13 du BSIF ne fixe pas de fréquence : les institutions financières sous réglementation fédérale établissent leurs propres déclencheurs et fréquences minimales, et la ligne directrice compte les tests d'intrusion et les exercices d'équipe rouge parmi les tests à mener. Un audit SOC 2 demandera souvent un rapport récent, lui aussi. Ailleurs, nous suggérons un test par année, et un autre après un changement majeur.
Un constat n'est fermé qu'après un nouveau test.
Sans étapes de reproduction, un constat se transforme en semaines de débats entre des développeurs et un PDF. Chacun des nôtres montre la requête ou le chemin qui a fonctionné, si bien qu'un développeur peut le confirmer en quelques minutes. Ensuite, nous revenons. Après les correctifs, nous testons les mêmes constats et consignons lesquels sont fermés : PCI DSS prévoit ce nouveau test, et les auditeurs le recherchent. Le balayage entre deux tests relève de la gestion des vulnérabilités.
Le regard d'un conseiller chevronné sur vos TI?
Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.
Demander une consultationLes quatre phases d'un mandat de test d'intrusion au Canada
Délimiter la portée prend plus de temps que la plupart des clients ne le prévoient. C'est là que se décide la valeur. Nous vous demandons ce qui vous inquiète, ce qui est en production, ce qui se trouve derrière quel contrôle et quels systèmes vous feraient le plus mal si nous les cassions. Nous convenons aussi de qui appeler si nous trouvons des signes d'une compromission réelle, parce que cela arrive et que personne ne veut trancher en plein test.
Phases du mandat
Phases 01 à 04
Délimiter et signer
Nous convenons des cibles, des exclusions, des plages de test et des personnes-ressources, puis nous rédigeons des règles d'engagement qu'une personne habilitée de votre entité canadienne signe avant que nous touchions à quoi que ce soit. Pour les systèmes infonuagiques, nous vérifions aussi les règles du fournisseur.
Tester manuellement
Les outils trouvent des pistes et nos testeurs font le reste : confirmer chacune, les enchaîner et tenter ce qu'un outil de balayage ne peut pas faire, comme détourner un processus d'affaires ou se déplacer latéralement d'un serveur à l'autre.
Rendre compte des constats
Un court résumé pour la direction, puis chaque constat avec les étapes qui le reproduisent, ce qu'un attaquant y gagne et un correctif rédigé pour votre pile technologique. Nous y ajoutons nos tentatives infructueuses. Vous savez ainsi quels contrôles ont tenu.
Tester de nouveau
Une fois les correctifs en place, nous reprenons les mêmes constats et remettons une courte lettre de nouveau test que votre auditeur peut classer avec le rapport. Les tests d'intrusion s'inscrivent parmi nos autres services de cybersécurité.
Ce que les acheteurs de tests d'intrusion au Canada demandent avant de signer
Les gestionnaires TI, les chefs de la sécurité de l'information et les responsables de la conformité soulèvent d'habitude ces questions pendant la délimitation de la portée, le plus souvent avec une date d'audit déjà fixée.
Où ce travail se rattache.
Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.
- SécuritéGestion des vulnérabilitésLe balayage, le suivi des correctifs et le classement des risques qui couvrent les mois entre deux tests annuels.
- SécuritéÉvaluation des menaces et des risques (EMR)Un examen structuré des menaces et des contrôles d'un système avant sa mise en production.
- SécuritéServices de sécurité gérés (MSSP)Une surveillance et une intervention jour et nuit, soit l'équipe qu'un exercice d'équipe rouge mettrait à l'épreuve.
