On confond souvent deux démarches pourtant très différentes : faire passer un scan automatisé à son système d’information, et commander un véritable test d’intrusion. Les deux cherchent à révéler les faiblesses avant qu’un attaquant ne les exploite, mais leur profondeur, leur coût et leur finalité n’ont rien de comparable. Comprendre cette distinction évite deux erreurs fréquentes : se croire protégé après un simple scan, ou renoncer à toute vérification faute de budget pour un pentest complet. Pour construire une stratégie de vérification adaptée, il est précieux de savoir comment s’articulent l’audit et le test d’intrusion au sein d’une démarche cohérente. Clarifions ce qui sépare, et ce qui relie, ces deux outils essentiels de la sécurité offensive.
Le point commun des deux approches est leur philosophie : plutôt que d’attendre l’attaque, on cherche activement les failles pour les corriger. Cette logique de sécurité offensive, ou de test proactif, part d’un constat simple : il vaut mieux découvrir ses propres faiblesses soi-même, dans un cadre maîtrisé, que de les voir révélées par un intrus mal intentionné au pire moment. Cette démarche suppose un changement d’état d’esprit, car elle revient à chercher activement de mauvaises nouvelles. Beaucoup d’organisations préfèrent inconsciemment ne pas savoir, par crainte de ce qu’une vérification révélerait et des efforts qu’elle imposerait. C’est pourtant l’inverse qui est prudent : une faille ignorée n’en reste pas moins exploitable, et le seul effet de l’ignorance est de laisser l’avantage à l’attaquant. Assumer de tester, c’est choisir de reprendre la main sur son niveau de risque plutôt que de le subir. Là où tout change, c’est dans la manière de chercher. Le scan de vulnérabilités s’appuie sur des outils automatisés qui comparent votre système à une base de failles connues, tandis que le test d’intrusion mobilise l’intelligence et la créativité d’un expert qui se met dans la peau d’un attaquant. L’un ratisse large et vite, l’autre creuse en profondeur ; les opposer serait une erreur, car ils répondent à des besoins complémentaires.
Deux approches, deux philosophies de la vérification
Avant d’entrer dans le détail technique, il faut saisir ce qui oppose fondamentalement ces deux démarches : non pas leur but, identique, mais leur méthode. Le scan procède par comparaison systématique, le test d’intrusion par raisonnement et contournement. Cette différence de nature explique tout le reste, du prix à la durée en passant par le type de résultats obtenus. Un scan de vulnérabilités fonctionne comme un inventaire exhaustif et répétable. L’outil connaît des milliers de failles documentées et vérifie, machine par machine, service par service, si l’une d’elles est présente. Sa force est la couverture : il examine en quelques heures un parc entier, sans fatigue ni oubli, et peut être relancé aussi souvent qu’on le souhaite. Sa limite est qu’il ne voit que ce qu’il connaît déjà, et qu’il raisonne faille par faille, sans jamais les combiner. Cette automatisation présente un avantage économique déterminant : elle rend la vérification accessible à toutes les tailles d’organisation. Là où un examen entièrement manuel serait réservé aux budgets les plus confortables, le scan démocratise une hygiène de sécurité de base, permettant même à une petite structure de savoir où elle en est. Cette accessibilité en fait souvent le premier pas concret d’une démarche de sécurité, celui par lequel on sort de l’ignorance de sa propre exposition.
Un test d’intrusion, à l’inverse, repose sur l’ingéniosité humaine. L’expert ne se contente pas de lister des failles : il cherche à les enchaîner pour atteindre un objectif concret, comme accéder à une base de données sensible ou prendre le contrôle d’un serveur. Il invente des scénarios, exploite des défauts de logique métier qu’aucun outil ne détecte, et évalue l’impact réel d’une compromission. Sa force est la profondeur, sa limite est le temps et le coût que suppose cette expertise. La métaphore la plus parlante est peut-être celle du bâtiment. Le scan revient à passer en revue toutes les portes et fenêtres pour vérifier qu’elles disposent bien d’une serrure conforme. Le test d’intrusion consiste à embaucher un cambrioleur professionnel, mandaté et encadré, pour qu’il tente réellement d’entrer par tous les moyens, y compris ceux auxquels personne n’avait pensé. Les deux informations sont utiles, mais elles ne disent pas la même chose du niveau de risque réel. Cette différence se retrouve dans la nature des résultats livrés. Un scan produit une liste de vulnérabilités techniques, classées par gravité théorique selon un référentiel standard. Un pentest produit un récit argumenté, qui explique non seulement qu’une faille existe, mais ce qu’un attaquant pourrait concrètement en faire dans votre contexte. Le premier parle en termes de conformité technique, le second en termes d’impact métier, et c’est souvent ce second langage qui parle le plus aux décideurs.
Il faut enfin se garder d’une hiérarchie simpliste qui ferait du pentest la version « supérieure » du scan. Les deux répondent à des besoins distincts : on ne mobilise pas un expert pendant plusieurs jours pour vérifier chaque mois que les correctifs sont à jour, pas plus qu’on ne se contente d’un outil automatique pour valider la sécurité d’une application manipulant des données sensibles. La pertinence tient à l’usage que l’on fait de chacun, au bon moment et sur le bon périmètre.
Le scan de vulnérabilités : large, rapide, répétable
Le scan de vulnérabilités est la porte d’entrée naturelle vers une démarche de sécurité offensive, car il offre un excellent rapport entre l’effort consenti et la visibilité obtenue. En automatisant la recherche de failles connues, il transforme une tâche impossible à réaliser à la main en un processus fiable et récurrent. Son intérêt grandit avec la taille et la complexité du système à surveiller. Dès que l’on gère plus de quelques machines, suivre manuellement l’état des correctifs de chacune devient illusoire, et les oublis s’accumulent sans que personne ne s’en aperçoive. Le scan apporte alors une rigueur mécanique précieuse : il ne se lasse pas, ne saute aucune machine et signale sans complaisance les écarts, y compris sur les équipements que l’on avait fini par oublier.
Comment se déroule un scan
Le scan commence par une phase de découverte qui cartographie les machines, les services et les versions logicielles présents sur le périmètre. L’outil interroge ensuite chaque élément et confronte les informations recueillies à sa base de vulnérabilités, afin d’identifier les correctifs manquants, les configurations risquées ou les composants obsolètes. Le résultat prend la forme d’un rapport hiérarchisé par niveau de gravité. La grande valeur de cette approche réside dans sa répétabilité. Un scan mensuel, ou mieux, continu, permet de suivre l’évolution de son exposition dans le temps : détecter une nouvelle machine mal configurée, repérer un serveur qui a pris du retard dans ses mises à jour, vérifier que les corrections demandées ont bien été appliquées. Cette surveillance régulière transforme la sécurité d’un état figé en un processus vivant. Cette dimension temporelle est d’autant plus précieuse que le paysage des menaces évolue chaque jour. De nouvelles failles sont publiées en continu, et un système parfaitement à jour un mois donné peut devenir vulnérable le mois suivant sans qu’aucune modification n’ait eu lieu de votre côté. Le scan régulier joue alors le rôle d’une vigie permanente, capable de signaler qu’une vulnérabilité fraîchement divulguée touche l’un de vos composants, bien avant qu’un attaquant n’ait le temps de l’exploiter à grande échelle.
Ce que le scan ne voit pas
Il serait dangereux de considérer un scan comme une garantie de sécurité. Par construction, il ignore les failles inconnues de sa base, ne comprend pas la logique métier d’une application et ne mesure pas l’impact réel d’une faiblesse dans le contexte précis de l’organisation. Une faille classée comme mineure par l’outil peut, enchaînée à une autre, ouvrir la voie à une compromission majeure que seul un regard humain saura anticiper. Le scan génère par ailleurs des faux positifs, c’est-à-dire des alertes qui n’en sont pas, et parfois des faux négatifs, des failles réelles qu’il ne détecte pas. L’interprétation des résultats demande donc une expertise : trier, prioriser, écarter le bruit pour se concentrer sur ce qui compte vraiment. Un rapport de scan brut, remis sans analyse, risque de noyer les véritables urgences sous une masse d’informations peu exploitables. Un dernier point mérite attention : le scan évalue la surface connue, c’est-à-dire ce que l’on a pensé à lui faire examiner. Les actifs oubliés, un serveur de test resté en ligne, un service exposé par un prestataire, une machine branchée en dehors des procédures, échappent souvent à son périmètre. Or ce sont précisément ces angles morts que les attaquants recherchent. Maintenir à jour l’inventaire de ce que l’on possède est donc le préalable indispensable pour que le scan tienne ses promesses.
Un scan répond à la question « quelles failles connues sont présentes ? », un pentest à la question « jusqu’où un attaquant peut-il réellement aller ? ». Confondre les deux conduit souvent à un faux sentiment de sécurité après un simple scan.
Le test d’intrusion : profond, ciblé, réaliste
Le test d’intrusion, ou pentest, pousse la logique de vérification jusqu’à son terme en simulant une attaque réelle, menée par un professionnel dans un cadre strictement encadré. Là où le scan dresse une liste, le pentest raconte une histoire d’attaque : par où entrer, comment progresser, que compromettre et avec quelles conséquences.
1. Cadrage et autorisation
Tout pentest commence par définir le périmètre, les objectifs et les règles d’engagement, avec une autorisation écrite indispensable. On précise ce qui peut être testé, à quel moment et jusqu’où aller, pour éviter tout impact sur la production et encadrer juridiquement l’exercice.
2. Reconnaissance
L’expert collecte un maximum d’informations sur la cible, comme un attaquant le ferait : services exposés, technologies employées, points d’entrée potentiels. Cette phase de cartographie conditionne toute la suite et révèle souvent des surfaces d’exposition insoupçonnées.
3. Exploitation
Vient le cœur de l’exercice : tenter d’exploiter les failles identifiées pour obtenir un accès, puis l’étendre. L’expert enchaîne les faiblesses, contourne les protections et cherche à atteindre les objectifs fixés, en documentant précisément chaque étape franchie.
4. Rapport et recommandations
Le livrable final détaille les vulnérabilités exploitées, les chemins d’attaque et, surtout, des recommandations priorisées. C’est ce document qui transforme l’exercice en plan d’action concret, en distinguant les corrections urgentes des améliorations de fond.
La richesse du pentest tient à sa capacité à révéler des failles de logique et des enchaînements que nul outil ne détecte. Un expert peut, par exemple, exploiter un paramètre modifiable dans une application pour accéder aux données d’un autre utilisateur, ou utiliser un compte sans privilège comme tremplin vers un accès administrateur. Ces scénarios, invisibles pour un scan, sont précisément ceux que privilégient les attaquants réels. Le choix de l’intervenant revêt ici une importance capitale. Un test d’intrusion met l’expert en position d’accéder à des informations sensibles, ce qui suppose une relation de confiance et un cadre déontologique solide. Vérifier les qualifications, exiger un engagement de confidentialité et s’assurer du sérieux de la méthode employée font partie intégrante de la démarche, car un pentest bâclé ou mal encadré peut donner un faux sentiment de sécurité tout en exposant des données durant l’exercice lui-même. Le pentest se décline par ailleurs en plusieurs modalités, selon le niveau d’information fourni à l’expert. En mode dit boîte noire, il part de rien, comme un attaquant externe ; en mode boîte grise, il dispose de quelques accès, simulant un utilisateur légitime malveillant ; en mode boîte blanche, il reçoit un maximum d’informations pour une analyse exhaustive. Chaque modalité répond à une question différente et éclaire une facette du risque.
Au-delà de la technique pure, un bon test d’intrusion apporte une preuve tangible qui fait souvent plus pour la prise de conscience qu’un long discours. Montrer concrètement qu’il a été possible d’accéder à des données confidentielles en partant d’un simple formulaire mal protégé frappe les esprits et débloque des décisions longtemps repoussées. Le pentest a ainsi une vertu pédagogique auprès des équipes et des dirigeants, en rendant le risque palpable plutôt qu’abstrait. Il convient toutefois de rappeler qu’un pentest est une photographie à un instant donné. Il valide la sécurité du périmètre testé, dans l’état où il se trouvait ce jour-là, avec les techniques connues à ce moment. Une mise à jour, un nouveau développement ou une faille découverte le lendemain peuvent rouvrir des portes. C’est pourquoi il doit s’inscrire dans une démarche répétée, et non être perçu comme un label définitif acquis une fois pour toutes.
Comment choisir et combiner les deux approches
Poser le choix en termes de « scan ou pentest » est en réalité un faux dilemme. Les deux outils ne se substituent pas l’un à l’autre, ils se complètent dans une démarche de sécurité mature. La vraie question n’est pas lequel adopter, mais comment les articuler en fonction de ses enjeux, de son budget et de son niveau de maturité. Ces deux démarches s’inscrivent par ailleurs dans un ensemble plus large que l’on appelle l’audit de sécurité. Celui-ci peut aussi comporter une revue de l’organisation, des procédures, de la configuration ou de l’architecture, bien au-delà des seules failles exploitables. Scan et pentest en sont les volets techniques les plus visibles, mais ils gagnent à être replacés dans cette vision d’ensemble, qui relie les constats techniques aux décisions de gouvernance et aux priorités d’investissement.
Le scan comme socle permanent
Une approche progressive et de bon sens consiste à faire du scan le socle permanent de sa surveillance. Régulier, peu coûteux et automatisable, il assure une hygiène de base et détecte vite les écarts les plus courants, comme les correctifs manquants ou les services exposés par mégarde. Il constitue le filet de sécurité quotidien, celui qui évite de laisser traîner des failles connues et facilement corrigeables.
Le pentest pour valider en profondeur
Le pentest, plus ponctuel, vient alors valider en profondeur les points critiques : une application web exposée, un nouveau service avant sa mise en production, l’ensemble du système à l’occasion d’un audit annuel. Son coût plus élevé se justifie par la valeur de ce qu’il protège et par la profondeur d’analyse qu’aucun automatisme ne peut égaler. L’idéal est de le réserver aux zones où une compromission aurait les conséquences les plus lourdes. Le niveau de maturité de l’organisation oriente aussi le choix. Une structure qui débute gagnera à commencer par un scan et par la correction méthodique des écarts les plus criants, car faire tester en profondeur un système truffé de failles évidentes revient à payer un expert pour confirmer ce qu’un outil aurait signalé à moindre coût. Une fois ce socle assaini, le pentest prend tout son sens et révèle les faiblesses plus subtiles qui subsistent, celles qui exigent réellement un regard humain. Cette combinaison gagne à s’inscrire dans un cycle d’amélioration continue : scanner en permanence, corriger les écarts, tester en profondeur régulièrement, puis vérifier par un nouveau scan que les corrections ont bien été appliquées. Pour approfondir l’une de ces facettes et voir concrètement le déroulé d’un exercice ciblé, il est éclairant de découvrir comment se déroule un test d’intrusion d’application web, un cas très répandu où la logique applicative offre un terrain de jeu que les scans peinent à couvrir.
Un scan de vulnérabilités suffit-il pour être en sécurité ?
Non, le scan est une base nécessaire mais insuffisante. Il détecte les failles connues et offre une surveillance précieuse, mais il ignore les vulnérabilités inconnues, la logique métier des applications et les enchaînements d’attaque. S’arrêter au scan expose à un faux sentiment de sécurité, car les attaquants exploitent précisément ce que les outils automatisés ne voient pas.
À quelle fréquence réaliser un test d’intrusion ?
Un rythme annuel constitue une bonne base pour les systèmes critiques, complété par un test à chaque changement majeur, comme la mise en ligne d’une nouvelle application ou une refonte d’architecture. Entre deux pentests, un scan régulier assure la continuité de la surveillance. La fréquence idéale dépend surtout de la criticité des actifs et de l’évolution du système d’information.
Le pentest présente-t-il un risque pour la production ?
Mené dans un cadre professionnel, le risque est maîtrisé. Le cadrage initial définit précisément ce qui peut être testé et les précautions à prendre, et les experts adaptent leurs techniques pour éviter toute interruption de service. Les tests les plus sensibles peuvent être réalisés sur un environnement de préproduction ou pendant des créneaux convenus, afin de concilier réalisme et prudence.
Quelle différence de coût entre scan et pentest ?
L’écart est important et reflète la nature des deux prestations. Le scan, largement automatisé, revient à un coût modéré et récurrent, souvent proposé en abonnement. Le pentest mobilise des experts sur plusieurs jours et représente un investissement plus conséquent, à la hauteur de la profondeur d’analyse fournie. Les combiner permet d’optimiser le budget en réservant l’expertise humaine aux enjeux les plus critiques.
