Pourquoi auditer son infrastructure réseau ?
Un pentest applicatif web ne suffit pas. Le périmètre réseau, qui inclut firewalls, VPN, Active Directory, serveurs exposés et segmentation interne, constitue la surface d'attaque la plus exploitée lors d'intrusions réelles. En 2024, plus de 70 % des compromissions initiales documentées par les équipes DFIR mondiales passaient par un vecteur réseau ou système, non par une faille applicative.
Un pentest infrastructure simule un attaquant externe (ou interne malveillant) cherchant à progresser dans le SI, de la première interface exposée jusqu'aux actifs critiques, comme les contrôleurs de domaine, les sauvegardes et les données sensibles.
Identifier les chemins d'attaque réalistes permettant à un adversaire de compromettre vos systèmes critiques, avant qu'un vrai attaquant ne le fasse. Le rapport livré permet de prioriser les remédiations par criticité métier réelle.
Les 5 phases d'un pentest infrastructure professionnel
| Phase | Objectif | Exemples de techniques |
|---|---|---|
| 1. Reconnaissance passive | Cartographier la surface d'attaque sans toucher les systèmes cibles | OSINT (Shodan, Censys, WHOIS), DNS enumeration, LinkedIn, leak databases |
| 2. Reconnaissance active | Scanner l'infrastructure pour identifier services et versions | Nmap (SYN scan, service detection), Masscan, SNMP sweep, SMB enumeration |
| 3. Exploitation initiale | Obtenir un premier accès sur le périmètre | CVE sur services exposés, password spray VPN/OWA, phishing ciblé (si scope) |
| 4. Post-exploitation & pivot | Étendre l'accès, se déplacer latéralement | Pass-the-Hash, Kerberoasting, BloodHound, chisel/ligolo pour tunneling |
| 5. Atteinte des objectifs | Compromettre les assets critiques définis dans le scope | DCSync (dump NTDS.dit), accès sauvegardes, exfiltration simulée, DA flag |
Vecteurs d'attaque les plus exploités en 2025
Lors de nos missions, ces vecteurs reviennent systématiquement
- Services exposés non patchés FortiGate, Citrix, VMware ESXi, Ivanti Pulse, dont les CVE critiques sur ces équipements sont exploitées en quelques heures après publication du PoC public.
- Password spray sur Entra ID / OWA Des pulvérisations de mots de passe communs sur les interfaces d'authentification exposées donnent accès à des comptes valides dans la majorité des environnements sans politique MFA stricte.
- SMB Signing désactivé Permet les attaques NTLM Relay (ntlmrelayx) qui capturent et rejouent des authentifications pour se déplacer latéralement sans cracker aucun mot de passe.
- Délégation Kerberos mal configurée Unconstrained delegation sur un serveur secondaire suffit pour capturer un TGT de Domain Admin et compromettre le domaine entier.
- Comptes de service avec SPNs Le Kerberoasting permet de demander des tickets TGS pour des comptes de service, puis de les craquer hors ligne, ce qui est particulièrement efficace sur les comptes avec des mots de passe faibles ou anciens.
- Segmentation réseau insuffisante L'absence de micro-segmentation entre VLAN permet un pivot rapide depuis un poste utilisateur jusqu'aux serveurs critiques.
Focus, NTLM Relay — du poste utilisateur au Domain Admin
Le NTLM Relay est l'une des attaques les plus dévastatrices sur les environnements Windows sans SMB signing. Voici le déroulé simplifié d'une chaîne d'attaque réelle
Correction activer SMB Signing obligatoire via GPO (Microsoft network server: Digitally sign communications (always)), désactiver LLMNR et NetBIOS-over-TCP/IP, déployer LAPS pour les mots de passe administrateurs locaux.
Les techniques présentées ici ne s'appliquent que dans un cadre contractuel strict avec lettre d'autorisation signée. Le NTLM Relay peut provoquer des interruptions de service si mal maîtrisé, c'est pourquoi il est réalisé exclusivement par des pentesters expérimentés avec accord du client. ONYX-CYBER fournit systématiquement un Rules of Engagement avant toute mission.
Outils référence du pentester infrastructure en 2025
| Phase | Outil | Rôle |
|---|---|---|
| Recon passive | Shodan, Censys, theHarvester | Cartographie surface externe, services exposés, emails, sous-domaines |
| Scan réseau | Nmap, Masscan, NetExec | Discovery, port/service/OS detection, énumération SMB/LDAP/WinRM |
| Exploitation CVE | Metasploit, exploit-db, PoC GitHub | Exploitation de vulnérabilités connues sur services identifiés |
| AD Enumeration | BloodHound / SharpHound | Cartographie des chemins d'attaque dans Active Directory (ACLs, délégations) |
| Credential abuse | Impacket (secretsdump, psexec), Rubeus | Pass-the-Hash, Kerberoasting, DCSync, ticket manipulation |
| NTLM Relay | Responder, ntlmrelayx | Capture et relai des authentifications NTLM sur le réseau local |
| Tunneling & pivot | Ligolo-ng, Chisel, SSH -D | Pivotage vers des réseaux internes non accessibles directement |
| C2 | Cobalt Strike, Havoc, Sliver | Command & Control pour les missions Red Team longue durée |
Livrables d'un pentest infrastructure ONYX-CYBER
- Résumé exécutif synthèse du niveau de risque global, chemins d'attaque critiques identifiés, impact business potentiel, lisible par le COMEX sans prérequis technique.
- Rapport technique détaillé chaque finding documenté avec score CVSS v3.1, preuve d'exploitation, étapes de reproduction et recommandation de remédiation priorisée.
- Schéma des chemins d'attaque visualisation BloodHound des pivots réalisés, de l'accès initial jusqu'aux assets critiques compromis.
- Plan de remédiation priorisé quick wins (à corriger en moins de 72h) vs corrections structurelles (segmentation, GPO, PKI).
- Retest inclus session de vérification des corrections après application des remédiations critiques.
Vous voulez tester la résistance réelle de votre infrastructure ?
ONYX-CYBER réalise des pentests infrastructure, Active Directory et Red Team en France. Rapport CVSS + schéma d'attaque + retest inclus. Devis sous 24h.
Demander un pentest infra Notre offre pentest →