Comprendre le rôle du pentester, le cadre juridique du test d'intrusion et maîtriser les techniques d'OSINT et de footprinting selon EC-Council CEH v12.
Cette leçon suppose une compréhension des fondamentaux TCP/IP (modèle OSI, ports, protocoles HTTP/DNS/SMTP), une familiarité avec une distribution Linux (idéalement Kali Linux 2024.x) et des notions juridiques générales. Aucune expérience préalable en hacking n'est nécessaire — l'approche est progressive et conforme au CBK EC-Council.
Le Certified Ethical Hacker (CEH) est une certification créée en 2003 par l'International Council of E-Commerce Consultants (EC-Council), basée à Albuquerque (Nouveau-Mexique). Devenue référence mondiale du pentest légal, elle est aujourd'hui en version 12 (publiée septembre 2022) et compte plus de 250 000 certifiés dans 145 pays. Reconnue par le Department of Defense américain via la directive 8570/8140, par l'ANSSI en France et par de nombreux régulateurs sectoriels (banque, santé, énergie), elle conditionne l'accès à des postes critiques de cybersécurité offensive.
L'éthical hacking — ou hacking éthique — désigne l'ensemble des techniques d'attaque informatique menées dans un cadre légal autorisé, dans le but d'identifier les vulnérabilités d'un système avant qu'un attaquant malveillant ne les exploite. Le pentester (penetration tester) est mandaté par le propriétaire du système via un contrat formel (Statement of Work, Rules of Engagement) et opère selon une méthodologie rigoureuse — la plus connue étant celle du CEH v12, structurée en cinq phases successives.
La frontière entre hacking éthique et cybercriminalité repose entièrement sur l'autorisation écrite préalable du propriétaire de la cible. En France, l'article 323-1 du Code pénal (loi Godfrain, 1988) punit l'accès frauduleux à un STAD de 3 ans d'emprisonnement et 100 000 € d'amende. Aux États-Unis, le Computer Fraud and Abuse Act (1986, amendé 2008) prévoit jusqu'à 10 ans de prison. Le pentester doit donc impérativement disposer d'une lettre d'engagement signée avant toute action, et opérer strictement dans le périmètre défini.
EC-Council structure tout test d'intrusion en cinq phases séquentielles, applicables qu'il s'agisse d'un audit web, réseau, cloud ou IoT.
| Phase | Objectif | Outils typiques | Livrable |
|---|---|---|---|
| 1. Reconnaissance | Collecter un maximum d'informations sur la cible sans interagir directement (passive) ou avec interaction minimale (active) | Maltego, theHarvester, Shodan, OSINT Framework, Google Dorks, WHOIS | Carte d'empreinte numérique |
| 2. Scanning | Identifier les hôtes vivants, ports ouverts, services et versions logicielles | Nmap, Masscan, Nessus, OpenVAS | Inventaire ports/services |
| 3. Gaining Access | Exploiter une vulnérabilité pour obtenir un accès initial au système | Metasploit, Burp Suite, sqlmap, exploits PoC | Shell / session compromise |
| 4. Maintaining Access | Établir un canal persistant (backdoor, reverse shell, mécanisme de persistance) | Meterpreter, Empire, Cobalt Strike, scripts cron | Persistance documentée |
| 5. Clearing Tracks | Effacer les traces (logs, historiques, artefacts) — uniquement à des fins de démonstration | Logrotate, shred, timestomp, anti-forensic | Rapport anti-forensic |
Selon l'EC-Council Code of Ethics : « A Certified Ethical Hacker shall hold in strictest confidence any confidential information gained in the course of professional activities, and shall not reveal information without proper authority. » (CEH Code of Ethics, clause 1, 2024).
La loi n° 88-19 du 5 janvier 1988 dite « Godfrain » et codifiée aux articles 323-1 à 323-7 du Code pénal sanctionne :
Le RGPD (UE 2016/679) impose en outre une analyse d'impact (DPIA) si le pentest traite des données personnelles, et la notification CNIL sous 72h en cas de fuite. L'ANSSI publie le référentiel PASSI qui qualifie les prestataires d'audit (qualification valable 3 ans).
Aux États-Unis, le Computer Fraud and Abuse Act (18 U.S.C. § 1030) couvre l'accès non autorisé. Au Canada, l'article 342.1 du Code criminel (utilisation non autorisée d'ordinateur) prévoit jusqu'à 10 ans. Au Québec, la Loi 25 (entrée en vigueur 2023) impose de plus une déclaration à la Commission d'accès à l'information.
L'OSINT consiste à collecter des informations publiquement accessibles sans interaction directe avec la cible. C'est la phase la plus discrète : aucune trace dans les logs du SI cible.
whois example.com, dig +short ns example.comsite:example.com filetype:pdf, intitle:"index of"La reconnaissance active interagit minimalement avec la cible (requêtes DNS, ping). Outils :
nslookup -type=mx example.com — serveurs mailtheHarvester -d example.com -b google,bing,linkedin — emails et hôtesrecon-ng — framework modulaire Python (>100 modules)Maltego CE — visualisation graphique des relationsVous avez reçu un SoW signé pour auditer acme-corp.test. Méthodologie de Recon en 6 étapes :
whois acme-corp.test — registrar, contacts admin, NSdig @8.8.8.8 acme-corp.test ANY — enregistrements completsamass enum -d acme-corp.test — sous-domaines via 80+ sourcestheHarvester -d acme-corp.test -b all -l 500 — emails, employésorg:"ACME Corp" — actifs Internet exposés"acme-corp.test" extension:env — fuites accidentellesLivrable : document Markdown avec arborescence des assets, capture des résultats, screenshots horodatés.
tmux + asciinema pour enregistrer la session, ou script -t timing.log session.log. Ces logs deviennent des preuves juridiques en cas de litige et alimentent directement le rapport final.
Au-delà du CBK CEH, deux référentiels sont incontournables pour cartographier les attaques :
Selon le NIST SP 800-115 (Technical Guide to Information Security Testing and Assessment) : « Penetration testing should be performed only after thorough planning, including obtaining written authorization, defining the scope, and establishing rules of engagement. » (NIST 800-115, §3.2).
users.sql contenant 100 000 emails → déclaration CNIL obligatoire si fuite, même en pentest autorisé.nmap -A n'est PAS de la recon passive, c'est du scanning actif. Respecter la phase.La leçon suivante est également gratuite. Découvrez-la sans inscription.
Leçon 2 — Continuer →Choisis quels cookies tu acceptes — modifiable à tout moment.