Aller au contenu
hackmoat

Notre façon de tester

Nous avons créé HackMoat parce que les attaquants ont eu l’IA avant les défenseurs. Nous utilisons la même catégorie de modèles, sous contrat et dans un périmètre signé, pour que vous voyiez en premier ce qu’ils verraient.

La mission, phase par phase

Nous suivons la structure du PTES (Penetration Testing Execution Standard), une description publique du déroulement d’un test.

  1. 1

    Préparation

    Périmètre, fenêtre de test, interlocuteurs et règles d’engagement, consignés dans l’autorisation signée.

  2. 2

    Reconnaissance

    Nous cartographions ce qui est accessible : domaines, hôtes, services et applications du périmètre.

  3. 3

    Analyse des vulnérabilités

    Nous recherchons les faiblesses, en combinant analyse automatisée et revue manuelle.

  4. 4

    Exploitation

    Nous confirmons chaque faiblesse en l’exploitant, dans les limites de l’autorisation, pour en montrer l’impact réel.

  5. 5

    Rapport et contre-audit

    Nous documentons chaque constat avec ses preuves et sa correction, puis nous vérifions vos corrections.

Nos référentiels

OWASP
L’Open Worldwide Application Security Project. Nous utilisons son Web Security Testing Guide pour les tests applicatifs et son Top 10 pour expliquer les risques courants.
PTES
Le Penetration Testing Execution Standard. Il structure chaque mission, de la préparation au rapport.
CVSS
Le Common Vulnerability Scoring System. Chaque constat reçoit un score CVSS, ce qui rend la gravité comparable d’un rapport et d’un prestataire à l’autre.

Nos principes

  • 01

    L’autorisation d’abord

    Aucun test ne commence sans autorisation signée. Nous ne touchons à rien en dehors de son cadre.

  • 02

    Périmètre fixe, prix fixe

    Vous savez ce qui est testé et ce que cela coûte avant que nous commencions. Pas de facturation à l’heure, pas de surprise.

  • 03

    Ne pas nuire

    Nous évitons les techniques destructrices et le déni de service. Si un système devient instable, nous arrêtons.

  • 04

    Des preuves, pas des avis

    Chaque constat s’accompagne d’une preuve que votre équipe peut reproduire. Aucun résultat de scanner non vérifié.

  • 05

    Vous prévenir tôt

    Les constats critiques sont signalés le jour même, pas des semaines plus tard dans le rapport final.

  • 06

    Confidentiel par défaut

    Les constats restent entre vous et nous. Les rapports ne sont accessibles que dans votre portail client privé.

L’autorisation d’abord. Les preuves ensuite.
Chaque test commence par une autorisation signée et se termine par des preuves que votre équipe peut vérifier.