La sécurité offensive
qui pense comme vos attaquants
La sécurité offensive éprouve vos systèmes comme le feraient des adversaires, afin de trouver et corriger les failles avant que de véritables attaquants ne les exploitent.
2 500+
tests réalisés
250+
clients actifs
1re place
NorthSec 2014, top 10 presque chaque année
Une pratiqueplusieurs points d’entrée
La sécurité offensive consiste à attaquer vos propres systèmes, méthodiquement et avec autorisation, pour trouver les faiblesses que des adversaires trouveraient, avant eux. Elle regroupe plusieurs disciplines, chacune éprouvant une voie d’entrée différente.
La discipline centrale est le test d’intrusion: l’évaluation précise et fondée sur la preuve de l’exploitabilité réelle des failles. Autour gravitent les engagements red team, l’analyse de vulnérabilités et l’ingénierie sociale, adaptés à votre profil de risque et à votre maturité en sécurité.
Une équipe qui pense comme les attaquants
La sécurité offensive chez OKIOK est réalisée par des spécialistes chevronnés en cybersécurité, dotés d’une vaste expertise pratique dans des environnements complexes.
Pour demeurer à l’avant-garde, ils participent sous la bannière OKIOK au NorthSec, l’événement de référence en la matière, et ce depuis 2010, alors qu’il s’appelait encore HackUs et se tenait à l’Université de Sherbrooke. L’équipe a remporté la première place en 2014 et s’est classée dans le top 10 lors de presque chacune de ses participations. Entre les compétitions, ils se tiennent au courant des dernières menaces grâce à la recherche et développement, à la formation spécialisée et aux certifications.
Regardez ce tableau des résultats: on y voit des pseudonymes, pas des entreprises. OKIOK concourt sous le nom d’OKIOK, la seule firme de sécurité à inscrire son propre nom au tableau, là où une mauvaise année est aussi publique qu’une bonne. C’est un choix délibéré. Une équipe anonyme ne risque rien, alors qu’un palmarès public demeure la mesure la plus honnête de ce qu’une équipe vaut vraiment.
Nos services de sécurité offensive
D’un test d’intrusion ciblé à une simulation d’adversaire complète, selon ce que vous devez démontrer.
Tests d’intrusion
Nos experts certifiés éprouvent chaque couche avec des outils de pointe augmentés par l’IA et des techniques manuelles poussées qui vont bien au-delà de ce que l’analyse automatisée peut déceler seule. La méthodologie est alignée sur les normes d’excellence de l’industrie, telles qu’OWASP, NIST et OSSTMM, et les constats sont classés par gravité CVSS avec un plan de correction priorisé.
Analyse de vulnérabilités
Des tests automatisés qui repèrent les vulnérabilités connues des systèmes visés et les classent par gravité CVSS. Souvent jumelée à un test d’intrusion, qui ajoute les vecteurs et les chaînes d’attaque qu’une analyse ne couvre pas.
Red team
Une simulation complète et orientée objectifs d’un véritable attaquant, y compris des campagnes de type APT qui se déploient dans la durée. Plutôt que d’éprouver un système isolé, l’équipe red team poursuit un objectif comme le ferait un adversaire, à travers la technologie, les personnes et l’accès physique, pour répondre à la vraie question: vos équipes s’en apercevraient-elles, et pourraient-elles l’arrêter?
Purple team
Test collaboratif et itératif des techniques d’attaque: l’équipe offensive exécute des attaques connues pendant que vos défenseurs observent, valident leur télémétrie, ajustent les contrôles et affinent les détections en temps réel. Chaque technique est rejouée jusqu’à ce qu’elle soit détectée de façon fiable. Résultat: des guides de détection et d’intervention mesurablement plus solides, pas une note de réussite ou d’échec.
Des questions sur la sécurité offensive?
Ce qui distingue un test d’intrusion d’une analyse de vulnérabilités, et ce que coûte un test.
Trouvez les failles en premier
Discutez avec notre équipe des tests offensifs adaptés à vos systèmes, à votre risque et à vos exigences de conformité.
Ingénierie sociale et hameçonnage
Éprouver le facteur humain: campagnes d’hameçonnage et scénarios d’ingénierie sociale, y compris le prétexte et les tentatives d’accès physique, qui révèlent la tenue de vos personnes et de vos processus sous pression. Vous obtenez les chemins qui ont fonctionné, les points de rupture et des recommandations de sensibilisation ciblées, pour que la formation porte là où le besoin est réel.