Audit de sécurité

Version imprimable

28/01/2007, 17h26
baali_hacene

Audit de sécurité

je suis un stagiaire dans une boite qui cherche à faire un audit de sécurité reseau , le patron a demandé un devis chez un professionnel XX.
ce dernier (prestataire) à demander certains informations qui me semble bisard pour un pro ( je mis pas en cause ces compitances) mais je crois pour un audit de sécu on demande pas:
- le type de routeur
- Firewall ( version aussi)
- nombre des poste et ainsi les OS
- les type applicatifs
- et le shéma réseau
- les ip publics.
je sais pas est ce que c'est du pro ça :? ! c'est pas a lui de détecté tous ça pour qu'on puisse résumé l'etat du réseau !

si quelqu'un a déja fait un audit de sécu dans un cadre pro n'hesitez pas a m'orienté.
MeRcI
28/01/2007, 19h49
MarcG

Tout depend de la demande d'audit .

La dans le cas present il est normal de demander ces informations si c'est un audit de type "evaluaton des mesures et des risques".

Un audit avec test direct est beauxcoup plus problematique tant d'un point de ve technique que d'un point de vue juridique (le risque en rréalisant des tests d'intrusions ou de detections ou n'est jamais null).
29/01/2007, 13h56
_solo

http://fr.wikipedia.org/wiki/Audit_informatique

faut savoir qu'il existe deux types d'audits il y a :
- la white box cad on donne tous les renseigenment qu'on a du reseaux a l'auditeur et il se debrouille avec ca
- la black box on ne donne pas le moindre renseignement a l'auditeur et c'est a lui de tout 'deviner' .
Generalement les boites de secu font les deux , fait quand meme attention aux arnaqueurs qui ne font que faire de banale test avec des outils automatiser et une facture de 3000Euros a la fin.
29/01/2007, 14h13
ggnore
En gros il te demande les informations de base du parc informatique.

Pour collecter tout ça, j'ai utilisé un couple logiciel ocs ng et glpi. Il faut installer un serveur web et installer un agent sur chaque poste.
Une fois en place, c'est le bonheur total : tu sais tout sur tout.
- Les ip de chaque machine
- les logiciels installés
- les systèmes d'exploitation
- le matériel de chaque machine
- Encore plein d'autres choses ...
C'est sur puissant ;)

ça ne répond pas à toutes tes question. Comme le shéma du réseau, les ip public, le type de routeur ou le type de firewall, mais c'est déjà un début.
30/01/2007, 19h45
baali_hacene

Merci pour ta réponse,
moi je préfére des scanneur de type nc ou nmap ou nessus, mais pour des pens tests je connais aucun logiciel en particulier.
si qlq1 à une idée je suis preneur.
merci
31/01/2007, 18h40
_solo

Citation:

mais pour des pens tests je connais aucun logiciel en particulier.

un cerveau particulierement bien reveiller , des competences avancees en reseaux , une certaines connaissance des failles exploiter , des competences systemes .
17/02/2007, 11h19
pi-2r

dans le cadre d'un audit de sécurité, tu peux utiliser le live CD backtrack.
Backtrack est issu d'une fusion d'Auditor et de Whax( 2 distribution linux connues dans le monde de la sécurité informatique), il contient une collection trés compléte d'outils dédiée au pen testing.
08/03/2007, 15h20
mitch 007

Citation:

ce dernier (prestataire) à demander certains informations qui me semble bisard pour un pro ( je mis pas en cause ces compitances) mais je crois pour un audit de sécu on demande pas:
- le type de routeur
- Firewall ( version aussi)
- nombre des poste et ainsi les OS
- les type applicatifs
- et le shéma réseau
- les ip publics.
je sais pas est ce que c'est du pro ça ! c'est pas a lui de détecté tous ça pour qu'on puisse résumé l'etat du réseau !

Effectivement, tout dépend de l'audit qui doit être fait.........architecture, tests d'intrusions.......

Dans le cas d'un audit et de recommandations sur l'architecture, il est intéressant d'avoir ces infos. ;)