Sommaire
En résumé : Un scan de vulnérabilités détecte automatiquement les failles connues.
Un test d’intrusion va plus loin : un expert simule une vraie attaque pour trouver ce que les outils ratent.
Les deux sont complémentaires mais commencez par le scan avant d’investir dans un pentest.
| Critère | Scan de vulnérabilités | Test d’intrusion |
|---|---|---|
| Méthode | Outil automatisé | Expert humain |
| Durée | Quelques heures | Plusieurs jours |
| Ce qu’il trouve | Failles connues (CVE), configurations par défaut | Failles logiques, enchaînements, contournements |
| Faux positifs | Fréquents | Très rares (tout est vérifié manuellement) |
| Exploitation | Non : signale sans prouver | Oui : démontre l’impact réel |
| Fréquence idéale | Mensuel ou trimestriel | Annuel ou après changement majeur |
| Budget | Faible par scan | Plus élevé mais impact supérieur |
Le scan de vulnérabilités : votre première ligne de défense
Un scan de vulnérabilités est un processus 100% automatisé. Un outil comme Nessus, Qualys ou OpenVAS parcourt votre réseau, compare les versions de vos logiciels avec une base de failles officiellement répertoriées (CVE) et vous signale ce qui doit être corrigé.
Ce qu’il fait bien :
- Détecte les correctifs manquants sur des centaines de machines en quelques heures
- Identifie les configurations par défaut dangereuses (mots de passe triviaux, services inutiles exposés)
- Offre une vue d’ensemble régulière de votre niveau de sécurité
- Permet de suivre l’évolution de votre posture de sécurité dans le temps
Ce qu’il ne fait pas :
- Il ne comprend pas la logique métier de vos applications
- Il ne détecte pas les failles inconnues ni les erreurs de conception
- Il signale des vulnérabilités sans prouver qu’elles sont exploitables
- Il génère des faux positifs qui nécessitent un tri manuel
Le scan est un excellent point de départ pour identifier les failles connues mais pour aller plus loin et vérifier ce qui est réellement exploitable, il faut un test d’intrusion.
Le test d’intrusion : simuler une vraie attaque
Un test d’intrusion (ou pentest) est réalisé par un expert en cybersécurité (pentester) qui se met dans la peau d’un attaquant. Il ne se contente pas de lister des failles, il les exploite pour montrer concrètement ce qu’un pirate pourrait faire à votre entreprise.
Le pentester suit une méthodologie structurée : reconnaissance, énumération des points d’entrée, exploitation des vulnérabilités, évaluation de l’impact puis rapport détaillé avec preuves, recommandations et plan d’action.
Ce que seul un pentest peut révéler
-
Les failles de logique métier : Votre site e-commerce permet de modifier le prix d’un article en manipulant une requête HTTP ? Aucun scanner ne verra ça car la requête est techniquement valide. C’est la logique applicative qui est cassée.
-
L’enchaînement de vulnérabilités : Trois failles « moyennes » identifiées par Nessus prises séparément semblent peu critiques. Combinées par un pentester, elles donnent un accès administrateur du domaine Active Directory en deux heures. C’est exactement ce que font les vrais attaquants.
-
Les contournements d’authentification : Un mécanisme de réinitialisation de mot de passe qui génère des tokens prévisibles, une API qui expose les données d’autres utilisateurs en changeant simplement un numéro dans l’URL… Ces failles nécessitent une compréhension du contexte que seul un humain apporte.
Les deux sont complémentaires
Le scan et le pentest ne s’opposent pas : un test d’intrusion inclut d’ailleurs une phase de scan dans sa méthodologie. La différence c’est ce qui vient après, le pentester exploite les résultats, les combine et teste des scénarios que l’outil seul ne peut pas imaginer.
Pour les entreprises qui débutent en cybersécurité, un audit de vulnérabilités est un bon premier pas. Pour celles qui veulent aller plus loin, le test d’intrusion donne une vision réaliste de ce qu’un attaquant pourrait faire.
Quand choisir l’un ou l’autre ?
Privilégiez le scan régulier si :
- Vous n’avez jamais évalué votre sécurité
- Vous devez maintenir une conformité (PCI-DSS, ISO 27001)
- Vous voulez un suivi continu après corrections
Ajoutez un pentest si :
- Vous avez une application critique (e-commerce, portail client, API)
- Vous préparez une mise en production importante
- Vous devez démontrer le risque à votre direction avec des preuves concrètes
- Votre secteur l’exige (NIS 2, DORA)
La stratégie optimale
Ne choisissez pas entre les deux, combinez-les :
- Des scans mensuels ou trimestriels pour garder le cap
- Un pentest annuel sur vos actifs critiques et des retests après chaque correction majeure
C’est cette approche en couches qui vous protège réellement.
Vous souhaitez évaluer la sécurité de votre système d’information ? Découvrez notre audit de vulnérabilités ou notre offre de test d’intrusion web. Pour bien préparer votre projet, consultez notre guide : Comment se préparer à un test d’intrusion.
