Testé avec l’IA que les attaquants utilisent déjà.
Nous lançons sur vos systèmes des modèles d’IA conçus pour les tests de sécurité, dans le périmètre que vous signez. Nos testeurs pilotent chaque exécution et vérifient chaque constat avant qu’il n’entre dans votre rapport.
Les attaquants utilisent désormais des modèles d’IA dont les garde-fous ont été retirés. Ces modèles trouvent les failles plus vite et travaillent toute la nuit. HackMoat lance d’abord le même type de modèle contre votre entreprise, dans le cadre d’une autorisation écrite, sur les cibles et dans la fenêtre de test que vous fixez. Des testeurs expérimentés décident de ce que l’IA peut tenter, suivent chaque étape en direct et confirment chaque constat à la main. Vous recevez un rapport que votre auditeur accepte, pour corriger les problèmes avant que quelqu’un d’autre ne les trouve.
Voir le film de 57 secondes (en anglais, sous-titré)
Pourquoi l’IA
Test d’intrusion classique
Attaquant avec IA
HackMoat
Vitesse
Test d’intrusion classiqueDes jours de travail manuel par cible
Attaquant avec IAQuelques heures, jour et nuit
HackMoatQuelques heures, jour et nuit
Couverture
Test d’intrusion classiqueCe qui tient dans les jours budgétés
Attaquant avec IATout ce qu’il peut atteindre
HackMoatTout ce qui est dans votre périmètre signé
Contrôle
Test d’intrusion classiqueLes testeurs
Attaquant avec IAPersonne
HackMoatVotre périmètre, votre fenêtre, nos testeurs
Résultat
Test d’intrusion classiqueUn rapport
Attaquant avec IAUne intrusion
HackMoatUn rapport vérifié et un contre-test
Les attaquants utilisent déjà ces modèles contre des entreprises comme la vôtre. Chaque semaine sans test leur laisse une semaine pour regarder en premier.
La profondeur qu’il vous faut
Chaque formule correspond à un périmètre défini, à prix fixe. Les formules supérieures incluent tout le contenu des précédentes.
01
Scout
Une attaque propulsée par l’IA sur votre périmètre externe, vérifiée par un testeur. Votre surface d’attaque publique, testée depuis l’extérieur.
Des attaques propulsées par l’IA sur votre périmètre et vos applications web, chaque exécution pilotée par un testeur. L’extérieur et l’intérieur : application web, réseau interne et suite collaborative.
La campagne complète propulsée par l’IA : externe, interne et cloud, pilotée et vérifiée par nos testeurs. Collaborateurs, cloud et reprise d’activité, testés pendant un an.
Un appel de 45 minutes avec l’un de nos testeurs. Nous passons en revue votre surface d’attaque, vous recommandons la bonne formule et répondons à vos questions sur notre méthode.
Les 500 € sont entièrement déduits si vous réservez une formule dans les 30 jours.
Choisissez une formule et payez en ligne via Stripe. Le prix est fixe et affiché d’avance : aucun devis à attendre.
2
Signer l’autorisation
Vous signez l’autorisation de test en ligne. C’est l’autorisation légale de tester : elle fixe le périmètre, les systèmes et la fenêtre de test.
3
Nous testons
Nous testons uniquement ce que vous avez autorisé, uniquement dans la fenêtre convenue. Si nous découvrons une faille critique, nous vous prévenons le jour même.
4
Rapport et contre-audit
Vous consultez le rapport complet dans votre portail client privé. Une fois les constats corrigés, nous les testons à nouveau.
À quoi ressemble un constat
Chaque constat indique ce que nous avons fait, ce que cela signifie pour votre activité et comment y remédier. Celui-ci est un exemple, sans aucune information sur le client.
Exemple. Anonymisé, pas un client réelHM-0417-01
CritiqueCVSS 9.8
Admin du domaine en 3 h 12 min via une passerelle VPN non corrigée
// Chemin d’attaque
1vpn.client.example:443
2CVE-2024-3400
3ad01.corp.local
Ce que nous avons trouvé
La passerelle VPN exposée sur Internet utilisait une version de firmware affectée par une vulnérabilité publique. De là, nous avons atteint le réseau interne et pris le contrôle du contrôleur de domaine.
Impact métier
Un attaquant disposant du même accès pourrait lire, chiffrer ou supprimer les données de chaque système Windows de l’entreprise.
Remédiation
Appliquez le correctif de l’éditeur, renouvelez tous les identifiants stockés sur la passerelle et limitez l’accès d’administration au réseau d’administration. Nous procédons au contre-audit après votre confirmation.
Un rapport exploitable
01
Synthèse pour la direction
Deux pages en langage clair pour les dirigeants : ce que nous avons testé, les principaux risques et les premières actions à mener.
02
Constats notés
Chaque constat porte un score CVSS, l’échelle de gravité de référence du secteur, et une priorité fondée sur votre contexte métier.
03
Preuves
Captures d’écran, requêtes et horodatages pour chaque constat, afin que votre équipe puisse le reproduire et le vérifier.
04
Mesures correctives
Des corrections concrètes pour chaque constat, rédigées pour celles et ceux qui les mettront en œuvre.
05
Périmètre et méthode
Ce qui était inclus dans le périmètre, quand nous avons testé et quelles méthodes nous avons employées. Les auditeurs le demandent.
06
Résultats du contre-audit
Après le contre-audit, le rapport indique les constats clos et ceux qui restent ouverts.
NIS2 et ISO 27001
NIS2 est la directive européenne qui impose aux entités essentielles et importantes de gérer leurs risques de cybersécurité et d’évaluer l’efficacité de leurs mesures. ISO 27001 est la norme internationale relative aux systèmes de management de la sécurité de l’information ; elle prévoit des tests techniques réguliers.
Un test d’intrusion ne vous rend pas conforme à lui seul. Il fournit en revanche une preuve indépendante : quelles mesures ont été testées, quels constats ont été relevés et quand ils ont été clos.
NIS2
Des éléments de preuve pour l’évaluation de l’efficacité de vos mesures de gestion des risques (article 21).
ISO 27001
Des données d’entrée pour la gestion des vulnérabilités techniques et les tests de sécurité en cours de développement (annexe A, 8.8 et 8.29).
Fortress
Inclut une synthèse pour la direction qui rattache chaque constat aux exigences NIS2 et ISO 27001 concernées.
Questions fréquentes
Est-ce légal ?
Oui, parce que vous l’autorisez. Avant de commencer, vous signez une autorisation de test qui désigne les systèmes, le périmètre et la fenêtre de test. Nous ne testons rien en dehors. Si un système est hébergé par un tiers, vous confirmez être en droit de le faire tester.
Les tests risquent-ils de casser quelque chose ?
Nous testons les systèmes de production avec précaution. Nous évitons les techniques de déni de service et les actions destructrices, et nous convenons avec vous d’une fenêtre de test adaptée. Si un système paraît instable, nous arrêtons et nous vous appelons.
Est-il sûr de laisser une IA attaquer nos systèmes ?
L’IA n’intervient que sur les cibles de votre autorisation signée, uniquement pendant votre fenêtre de test, et s’arrête à la preuve : elle ne modifie, ne supprime ni ne prélève aucune donnée. Un testeur suit chaque exécution en direct et peut l’arrêter immédiatement, et votre contact d’urgence peut interrompre le test à tout moment.
Qui sont les testeurs ?
Des pentesteurs expérimentés, qui appliquent des méthodes publiques comme OWASP et PTES. Les testeurs affectés à votre mission sont nommés dans l’autorisation de test et sont tenus à la confidentialité.
Combien de temps cela prend-il ?
Les tests commencent généralement dans les deux semaines suivant la signature de l’autorisation. Le rapport Scout est remis sous 10 jours ouvrés après le début des tests. Siege et Fortress demandent plus de temps, car le périmètre est plus large ; nous fixons les dates avec vous avant de commencer.
De quoi avez-vous besoin de notre part ?
Une autorisation signée, un interlocuteur joignable pendant les tests et le détail des systèmes inclus dans le périmètre. Pour Siege et Fortress, nous vous envoyons une petite sonde à brancher sur votre réseau interne.
Nos données passent-elles dans un modèle d’IA ?
Les constats et les preuves restent dans votre portail client privé et sont supprimés comme le décrit notre politique de confidentialité.
Sachez-le avant eux
Réservez une formule en ligne, ou écrivez-nous si vous hésitez sur le périmètre.