Sécurité offensive
Test d'intrusion interne : pourquoi nous laissons votre EDR actif
Désactiver l'EDR pendant un test d'intrusion donne un rapport plus long, mais une image moins fidèle de votre exposition réelle. Voici comment nous procédons.
Lors du cadrage d'un test d'intrusion interne, une question revient souvent : faut-il mettre les testeurs en liste blanche dans l'EDR, voire le désactiver sur quelques postes, « pour gagner du temps » ?
Notre réponse par défaut est non. Voici pourquoi.
Ce que l'on mesure vraiment
Un test interne part d'une hypothèse simple : un attaquant a déjà un pied dans votre réseau, avec les droits d'un utilisateur standard. C'est le scénario d'un hameçonnage réussi, d'un poste infecté ou d'un prestataire compromis.
Dans la vraie vie, cet attaquant ne sera pas en liste blanche. Si votre EDR bloque une technique, c'est une information utile. Si votre SOC lève une alerte au bout de vingt minutes, c'en est une autre, encore plus utile. Désactiver ces contrôles revient à tester un environnement qui n'existe pas.
Ce que l'on perd en les désactivant
- La mesure de la détection. On ne sait plus si l'élévation de privilèges ou le mouvement latéral aurait été vu.
- La priorisation. Une vulnérabilité exploitable malgré l'EDR est plus urgente qu'une vulnérabilité que l'EDR neutralise déjà.
- Le dialogue avec le SOC. Les alertes générées pendant le test sont la matière première d'un bon atelier de restitution.
Ce que cela change dans la conduite du test
Garder l'EDR actif oblige à travailler comme un attaquant prudent : outillage adapté, techniques moins bruyantes, chemins d'attaque qui passent par la configuration plutôt que par des outils détectés. C'est souvent là que l'on trouve les constats les plus parlants : délégations Kerberos mal maîtrisées, modèles de certificats ADCS trop permissifs, partages réseau contenant des secrets.
Lorsque l'EDR nous bloque réellement sur un chemin, nous le documentons comme un point positif, puis nous pouvons convenir avec vous d'un contournement contrôlé pour évaluer la suite de la chaîne. Ce choix est toujours fait ensemble, jamais en silence.
Ce que nous convenons avant de commencer
Tout est formalisé dans la lettre d'autorisation signée au cadrage :
- Les plages horaires de test et les contacts d'escalade.
- Ce que le SOC doit faire s'il détecte une activité : traiter l'alerte normalement, ou nous contacter avant de confiner.
- Les critères d'arrêt immédiat, par exemple un impact sur la production.
- Le traitement des constats critiques, remontés sans attendre le rapport final.
En résumé
Un test d'intrusion interne n'a pas pour but de produire la liste de constats la plus longue possible. Il doit vous dire ce qu'un attaquant atteindrait réellement aujourd'hui, et si vous le verriez passer. Laisser vos défenses en place est la façon la plus honnête de répondre à ces deux questions.