Sécurité offensive automatisée
Nous opérons une plateforme qui teste vos actifs en continu, dans le périmètre que vous fixez. Elle ne rapporte que ce qu'elle a réussi à exploiter, et vous savez à tout moment ce que chaque recherche a coûté.
Un scanner signale qu'une version est ancienne. Notre système vérifie si la faiblesse s'applique réellement à votre installation, et tente de l'exploiter. Sans démonstration reproductible, rien ne vous est remonté.
Chaque test mené est consigné avec sa conclusion et sa preuve. La session suivante reprend où la précédente s'est arrêtée au lieu de repartir de zéro, et ne rejoue jamais un test déjà fait.
Une faille isolée l'intéresse peu. Il cherche ce qu'elle ouvre : un accès lecture mène à l'écriture, l'écriture mène à l'exécution. L'objectif est l'impact réel, pas le volume de rapports.
Chaque recherche est budgétée et mesurée. Vous fixez un plafond par actif et par jour ; la dépense s'arrête là. Le coût par vulnérabilité trouvée est affiché, actif par actif.
Hôtes autorisés, hôtes exclus, règles d'engagement, limites de débit, techniques interdites, catégories que vous ne voulez pas voir remonter. Tout est repris de votre cadre, pas du nôtre.
Chaque commande est inspectée avant exécution : une commande visant un hôte absent de votre liste est refusée, pas journalisée après coup. La règle la plus précise l'emporte, pour autoriser un sous-domaine sans ouvrir tout le domaine.
Reconnaissance de la surface, identification des technologies, puis tests d'exploitation. Chaque exécution se déroule dans un conteneur jetable, aux ressources et au réseau bornés, détruit à la fin.
Chaque vulnérabilité confirmée arrive avec sa preuve, les étapes pour la reproduire et son impact. Les pistes fermées sont documentées aussi : vous savez ce qui a été testé sans rien donner.
Le contrôle est mécanique et s'applique avant chaque commande. Il ne dépend pas de la bonne volonté du système, et toute modification de cette règle passe par des tests de non-régression.
Les démonstrations se font sur des comptes de test. Aucune donnée d'un utilisateur réel n'est consultée, copiée ni conservée.
Pas de test de charge, pas de déni de service, débit limité selon vos règles. Chaque commande est bornée en durée et s'arrête d'elle-même.
Un budget par actif et par jour, appliqué par la plateforme. Elle s'arrête quand il est atteint, ou plus tôt si elle n'a plus de piste à explorer.
Chaque commande exécutée, chaque sortie d'outil et chaque conclusion sont conservées et consultables. Vous pouvez relire une session entière.
Nous n'intervenons que sur mandat écrit du propriétaire du système, ou dans le cadre d'un programme de divulgation publié.
La plateforme est opérée par nos soins sur vos actifs. Dites-nous ce que vous voulez faire tester, nous revenons vers vous avec le cadre et les modalités.
Précisez les actifs concernés et votre rôle vis-à-vis d'eux. Aucun test n'est lancé sans autorisation écrite.