Lire un rapport de pentest sans se faire impressionner
Comment distinguer un vrai problème exploitable d'un jargon impressionnant : portée, preuve, impact métier et priorisation.
Commencer par la portée
Avant de lire la première vulnérabilité, vérifiez ce qui a réellement été testé. Un rapport très détaillé sur 10 % du périmètre peut être utile, mais il ne dit rien sur les 90 % restants.
La date du test, les comptes fournis et les exclusions sont aussi importantes que les findings eux-mêmes.
Chercher la preuve, pas l’adjectif
“Critique”, “niveau militaire” ou “hautement sophistiqué” n'ont aucune valeur s'ils ne sont pas accompagnés d'une preuve reproductible. Un finding crédible décrit la condition d'exploitation, la preuve observée et la conséquence métier.
Si vous ne voyez ni captures, ni chemins d'exploitation, ni recommandation précise, le rapport demande des éclaircissements avant d'être pris comme feuille de route.
Prioriser en fonction du risque réel
Une faiblesse “moyenne” sur un service exposé à Internet peut passer avant une faiblesse “élevée” sur une machine isolée. La priorité se décide avec le contexte, pas avec la couleur du tableau.
Les meilleures restitutions finissent par un plan de remédiation séquencé sur 30, 60 et 90 jours.