Deux termes souvent confondus — mais qui designent des choses fondamentalement differentes. Comprendre la difference permet de prendre de meilleures decisions pour la securite de votre informatique.
Qu’est-ce qu’un vulnerability scan ?
Un vulnerability scan est une verification automatisee de vos systemes pour detecter les vulnerabilites connues. Le logiciel se connecte a vos serveurs, identifie les services installes et les versions logicielles, puis les compare avec des bases de donnees de vulnerabilites connues (CVE).
Caracteristiques :
- Automatise, fonctionne sans intervention manuelle
- Dure de quelques minutes a quelques heures
- Verifie des milliers de vulnerabilites connues simultanement
- Peut etre repete regulierement (hebdomadaire, mensuel)
- Cout : CHF 100-500 par mois (abonnement plateforme)
- Resultat : rapport avec vulnerabilites priorisees et recommandations d’action
Qu’est-ce qu’un penetration test ?
Un penetration test (pentest) est une verification manuelle realisee par un specialiste en securite. Le testeur tente de s’introduire dans vos systemes comme un veritable attaquant — avec creativite, experience et des outils qui vont au-dela des scans automatises.
Caracteristiques :
- Manuel, realise par des specialistes certifies (p. ex. OSCP, CISSP)
- Dure de quelques jours a quelques semaines
- Detecte egalement les erreurs logiques et les vulnerabilites de logique metier
- Realisation ponctuelle ou annuelle
- Cout : CHF 5’000-20’000 par evaluation
- Resultat : rapport detaille avec scenarios d’attaque et preuves d’exploitation
La difference essentielle
Un vulnerability scan trouve les problemes connus rapidement et de maniere large. Un pentest trouve aussi des problemes inconnus, mais de maniere ciblee et couteuse.
Un exemple : le vulnerability scan detecte que votre serveur Exchange presente une CVE connue et qu’aucun correctif n’est installe. Un pentester verifierait en plus si le transfert de courrier interne est configure de telle sorte qu’un attaquant puisse exploiter cette CVE pour acceder aux e-mails de la direction.
Les deux ont leur place. Mais l’ordre est important.
Par quoi commencer ?
De nombreuses entreprises commandent un penetration test avant d’avoir jamais realise un vulnerability scan. C’est comme engager un architecte d’interieur pour renover votre appartement alors que le toit fuit encore.
L’ordre recommande :
- Vulnerability scans reguliers (continus, automatises) — Detectent et comblent les failles connues
- Penetration test (1-2x par an, manuel) — Teste ce que le scanner ne trouve pas : erreurs de logique, chaines d’attaque complexes, ingenierie sociale
- Nouveau vulnerability scan apres le pentest — Verifie que les problemes identifies ont ete corriges
Le scan assure l’hygiene de base. Le pentest apporte la profondeur. Sans hygiene de base, le pentest est de l’argent gaspille — la moitie des decouvertes seraient des choses qu’un scan automatise aurait egalement trouvees.
Combien coute quoi ?
| Vulnerability Scan | Penetration Test | |
|---|---|---|
| Cout | CHF 100-500/mois | CHF 5’000-20’000 ponctuel |
| Frequence | Hebdomadaire a mensuel | 1-2x par an |
| Couverture | Milliers de CVE connus | Concentre sur des cibles definies |
| Duree | Minutes a heures | Jours a semaines |
| Specialiste necessaire ? | Non | Oui |
| Cout annuel | CHF 1’200-6’000 | CHF 5’000-20’000 |
Pour la plupart des PME, un vulnerability scan regulier est la mesure la plus rentable. Un pentest s’avere en plus judicieux lorsque des systemes specifiques (p. ex. boutique en ligne, portail client, application financiere) sont particulierement critiques.
Ce n’est pas l’un ou l’autre
La combinaison la plus solide est un vulnerability scan continu comme base, complete par des pentests cibles pour les systemes critiques.
Le scan tourne automatiquement en arriere-plan et donne l’alerte quand quelque chose change. Le pentest apporte la profondeur la ou cela compte vraiment.
Conclusion
Si vous n’avez pas encore de vulnerability scan regulier aujourd’hui, commencez par la. C’est le moyen le plus rapide et le plus rentable d’ameliorer de maniere mesurable votre securite informatique.
ExposIQ combine plus de 35 moteurs de scan avec plus de 64’000 verifications CVE et fournit des rapports clairs en allemand, francais, italien et anglais. Mise en place en 5 minutes, sans connaissances specialisees.
Essayez gratuitement pendant 14 jours.
Vous avez egalement besoin d’un penetration test ? Contactez-nous — avec plus de 30 ans d’experience et des centaines de pentests realises, nous vous conseillons volontiers : info@exposiq.ch
