Sophos Advisory Services : tests de sécurité experts

Avec Sophos Advisory Services, Sophos étend son portefeuille de services de sécurité avec des évaluations proactives. L’idée est simple : une organisation ne devrait pas attendre une attaque pour découvrir si son environnement est réellement résilient. Un test contrôlé est préférable, avec des testeurs sécurité expérimentés qui observent l’environnement du point de vue d’un attaquant, démontrent les faiblesses et fournissent des recommandations concrètes.

Cela ressemble d’abord à un test d’intrusion classique, et c’est bien par là que Sophos commence. Mais Advisory Services va plus loin qu’un simple “scan”. Le service couvre des tests techniques, une définition claire des objectifs, des findings exploitables, une priorisation, un rapport pour publics techniques et non techniques et, pour les findings critiques ou élevés, une validation de la remédiation dans les 90 jours.

La distinction est importante : Sophos Advisory Services ne remplace pas Sophos MDR, ne remplace pas Sophos Managed Risk et n’est pas une aide d’urgence pendant une attaque active. C’est la couche proactive de conseil et de test entre les deux : évaluer, comprendre, prioriser, améliorer.

Que sont Sophos Advisory Services ?

Sophos Advisory Services sont des évaluations de sécurité menées par des experts. Sophos les décrit comme des services indépendants et proactifs de Security Testing, qui évaluent les réseaux, systèmes, applications et, selon le mandat, des aspects organisationnels de la sécurité face à des méthodes d’attaque réelles.

Le service est fourni par la Sophos Red Team et d’autres experts sécurité. La méthodologie s’appuie sur les enseignements de Sophos X-Ops, des missions d’Incident Response, du Threat Hunting et de nombreux projets de test. Le test ne doit donc pas seulement dérouler des checklists connues, mais intégrer les tactiques actuelles des attaquants.

La valeur pratique se résume à quatre questions :

• Où se trouvent les faiblesses que des attaquants pourraient réellement exploiter ?
• Jusqu’où un attaquant pourrait-il aller depuis l’extérieur, en interne, via le Wi-Fi ou via une application web ?
• Quelles mesures techniques et organisationnelles réduisent le plus le risque ?
• Quels résultats peuvent être présentés clairement au management, aux partenaires, aux auditeurs ou aux cyberassureurs ?

Le résultat n’est pas seulement “réussi” ou “échoué”. Un bon test montre ce qui a été évalué, ce qui a été trouvé, la criticité du finding, l’impact réaliste et ce qui doit concrètement changer.

Les quatre services actuellement disponibles

Sophos a annoncé quatre offres de Security Testing au lancement. D’autres Advisory Services pourront suivre, mais ces quatre services constituent actuellement le coeur de l’offre.

External Penetration Testing

L’External Penetration Testing analyse l’environnement du point de vue d’un attaquant externe. L’accent est mis sur les systèmes accessibles publiquement, comme les sites web, portails VPN, accès distants, infrastructure e-mail, API, serveurs web, services cloud ou autres services exposés sur Internet.

Le test répond surtout à ces questions :

• Quels systèmes sont visibles depuis l’extérieur ?
• Des services sont-ils mal configurés ou obsolètes ?
• Existe-t-il des vulnérabilités connues exploitables ?
• Un accès initial à l’environnement peut-il être obtenu ?
• Quelles mesures réduisent la surface d’attaque externe ?

L’external pentesting est particulièrement utile lors de la publication de nouveaux services, après de grands changements d’infrastructure, avant des audits ou lorsque la taille réelle de la surface d’attaque externe n’est pas claire. Il complète aussi les approches continues d’exposure management comme Sophos Managed Risk, sans les remplacer. Managed Risk surveille et priorise en continu. Un pentest va plus en profondeur à un moment donné et tente de démontrer de manière contrôlée ce qu’un attaquant pourrait obtenir.

Internal Penetration Testing

L’Internal Penetration Testing part du principe qu’un attaquant est déjà dans le réseau ou qu’un compte utilisateur a été compromis. En pratique, ce scénario est réaliste : phishing, identifiants volés, accès VPN non sécurisé ou poste client infecté suffisent souvent à obtenir un premier point d’ancrage.

Le test interne vérifie par exemple :

• si la segmentation fonctionne réellement,
• si les accès privilégiés sont attribués trop largement,
• si les serveurs, clients et systèmes de gestion sont séparés,
• si les droits d’administrateur local peuvent être détournés,
• si le lateral movement est possible,
• si des données sensibles sont accessibles depuis des systèmes internes.

C’est souvent là que la différence entre les schémas d’architecture et la réalité devient visible. Un réseau peut sembler proprement segmenté sur papier, mais être beaucoup plus perméable au quotidien à cause d’exceptions, d’anciens systèmes, de ports de gestion ouverts ou de droits faibles. Les tests internes sont donc un bon contrôle de réalité pour les projets Zero Trust, de segmentation et de hardening.

Wireless Network Penetration Testing

Le Wireless Network Penetration Testing évalue la sécurité Wi-Fi. Sophos distingue les contrôles passifs et actifs.

Une évaluation passive observe le trafic radio et recherche des problèmes comme des rogue access points, des SSID inattendus, un chiffrement faible, des configurations erronées ou des appareils qui ne correspondent pas au modèle de sécurité. Une évaluation active va plus loin et simule des tentatives d’attaque, par exemple contre l’authentification, le chiffrement ou les contrôles d’accès.

Les questions typiques sont :

• Le Wi-Fi d’entreprise, le Wi-Fi invité et les réseaux internes sont-ils bien séparés ?
• Des méthodes d’authentification fortes sont-elles utilisées ?
• Existe-t-il des access points indésirables ou des appareils mal configurés ?
• Un attaquant peut-il contourner les mécanismes de protection ?
• La configuration Wi-Fi respecte-t-elle les politiques de sécurité internes ?

Le Wi-Fi est sous-estimé dans de nombreux environnements, car il est vu comme une simple couche d’accès. En réalité, il constitue souvent un pont direct vers les réseaux internes. Un test wireless est particulièrement pertinent pour les bureaux avec zones sensibles, sites de production, établissements d’enseignement, secteur de la santé, surfaces retail ou environnements avec beaucoup d’invités et d’appareils mobiles.

Web Application Security Assessment

Le Web Application Security Assessment vérifie les applications web à la recherche de problèmes de sécurité. Cela inclut des vulnérabilités classiques comme SQL Injection, Cross-Site Scripting, authentification défaillante, Broken Access Control, Security Misconfiguration, gestion de session non sécurisée ou problèmes de conception dans l’application.

Sophos décrit deux perspectives possibles :

• Black-box Testing : le testeur ne dispose d’aucune information interne et évalue l’application comme un attaquant externe.
• White-box Testing : le testeur reçoit un accès au code source, à des informations d’architecture ou à de la documentation technique et peut donc tester plus en profondeur.

Le bon choix dépend de l’objectif. Si l’on veut savoir ce qu’un attaquant externe peut obtenir sans connaissance préalable, le Black-box Testing convient. Si une nouvelle application doit être examinée en profondeur avant le go-live, le White-box Testing est souvent plus utile, car il rend visibles les problèmes structurels dans le code ou le design.

Les Web Application Assessments sont particulièrement pertinents pour les portails clients, boutiques, outils web internes, API, portails partenaires, zones de connexion et applications contenant des données personnelles ou critiques pour l’activité.

Déroulement typique d’un engagement Advisory

Un bon test de sécurité ne commence pas par des outils, mais par le scope et l’objectif. Sophos le souligne précisément pour Advisory Services : les tests doivent être orientés objectif et évaluer les systèmes dans le contexte de l’environnement.

1. Définir l’objectif et le scope

Avant le test, il faut clarifier ce qui sera évalué et ce qui ne le sera pas. Cela comprend :

• systèmes cibles, domaines, plages IP, applications ou sites,
• types de tests autorisés et actions exclues,
• fenêtres de temps et fenêtres de maintenance,
• interlocuteurs pour les questions techniques et métier,
• chemins d’escalade pour findings critiques ou perturbations opérationnelles,
• comptes de test et accès nécessaires,
• traitement des données de production.

Cette phase est importante, car le Security Testing peut toujours avoir un impact. Un test actif contre un Wi-Fi, une application web ou un réseau interne ne doit pas toucher l’exploitation de manière incontrôlée. Plus le scope et les règles sont bien définis, plus le résultat est utile et sûr.

2. Réaliser le test

Pendant la phase de test, les experts sécurité combinent analyse manuelle, tooling, expérience et informations actuelles de Threat Intelligence. La différence avec un simple scan de vulnérabilités est que les findings ne sont pas seulement signalés, mais aussi contextualisés et, si possible, validés.

Un scanner peut dire : “Une vulnérabilité pourrait exister ici.” Un bon pentest répond en plus : “Est-elle exploitable ? Dans quelles conditions ? Jusqu’où peut-on aller avec elle ? Quel est l’impact réel ? Quelle mesure aide vraiment ?”

3. Documenter les résultats

Après la fin du test, Sophos fournit un rapport. Selon Sophos, il s’adresse à des publics techniques et non techniques. C’est important, car un rapport purement technique aide rarement le management, tandis qu’un rapport purement managérial manque de concret pour les admins.

Un rapport utile devrait donc contenir au minimum :

• résumé pour management et responsables du risque,
• findings techniques avec preuves,
• sévérité et impact réaliste,
• systèmes concernés et scope testé,
• recommandations priorisées,
• étapes de remédiation concrètes,
• indications sur les corrections rapides et les améliorations structurelles.

La priorisation est décisive. Beaucoup d’organisations ont plus de findings que de temps. Un bon rapport aide à corriger en premier les vulnérabilités réellement exploitables, exposées ou critiques pour l’activité.

4. Valider les findings critiques et élevés

Un point utile sur la page Sophos est la Remediation Validation : pour les findings critiques ou élevés corrigés, une validation dans les 90 jours est incluse. C’est pratique, car cela crée une vraie boucle de contrôle, pas seulement un PDF.

Pour l’exploitation, cela signifie que les findings critiques et élevés doivent rapidement être transformés en tickets, attribués à un owner et revérifiés après correction. Sinon, le test reste un instantané sans effet durable.

Distinction avec MDR, Managed Risk et Incident Response

Sophos propose désormais plusieurs services de sécurité dont les noms peuvent facilement être confondus. Les différences sont importantes.

Advisory Services vs. Sophos MDR

Sophos MDR est un service continu de Managed Detection and Response. Des analystes surveillent les signaux, détectent les menaces et réagissent, selon le modèle convenu, aux attaques actives ou comportements suspects.

Advisory Services sont au contraire des tests et assessments par projet. Ils vérifient si les contrôles, applications, réseaux ou Wi-Fi sont attaquables. MDR observe en continu les menaces actives. Advisory Services évaluent la préparation de la défense.

Advisory Services vs. Sophos Managed Risk

Sophos Managed Risk est un service continu de gestion des vulnérabilités et de la surface d’attaque. Il identifie les assets externes, évalue les risques, priorise les vulnérabilités et aide à réduire durablement les surfaces d’attaque ouvertes.

Advisory Services fonctionne autrement : ce sont des évaluations limitées dans le temps, manuelles ou fortement appuyées par des experts. Un external pentest peut par exemple valider jusqu’où un attaquant pourrait réellement aller. Managed Risk fournit la vue continue sur la surface d’attaque. Les deux se complètent bien.

Advisory Services vs. Compromise Assessment

Un Sophos Compromise Assessment répond à une autre question : l’environnement est-il déjà compromis ou existe-t-il des signes d’une attaque en cours ou passée ?

Advisory Services pose plutôt la question suivante : où une attaque pourrait-elle réussir si quelqu’un essayait ? Il s’agit donc de prévention et de résilience, pas principalement de recherche forensique d’attaquants déjà actifs.

Advisory Services vs. Emergency Incident Response

Si une organisation est actuellement attaquée, un test d’intrusion n’est pas le bon point de départ. Il faut de l’Incident Response, du confinement, de l’analyse et de la restauration. Advisory Services est destiné à la phase avant ou après : avant une attaque pour réduire le risque, ou après stabilisation pour améliorer la structure.

Quand Sophos Advisory Services est utile

Advisory Services est particulièrement utile lorsqu’une organisation veut répondre à des questions concrètes, pas seulement obtenir “plus de sécurité”.

Avant un go-live ou après de grands changements

De nouvelles applications web, une nouvelle architecture VPN, de nouveaux services cloud, un nouveau concept Wi-Fi ou une segmentation réseau importante ne devraient pas révéler leurs faiblesses seulement en production. Un assessment ciblé avant le go-live peut éviter de nombreuses corrections coûteuses.

Avant audits, certifications ou cyberassurances

De nombreuses exigences de NIS2, ISO 27001, PCI DSS, SOC 2 ou des cyberassurances ne portent pas seulement sur la présence d’outils, mais sur des processus démontrables, des tests et la réduction du risque. Un engagement Advisory ne remplace pas une certification, mais peut fournir des preuves importantes et des améliorations concrètes. Pour le lien entre réglementation et mesures de sécurité, l’article sur la directive NIS 2 est également pertinent.

Quand la sécurité interne est supposée mais pas prouvée

Beaucoup d’environnements paraissent stables jusqu’à ce qu’ils soient testés consciemment. Les tests internes révèlent souvent d’anciens droits admin, des réseaux plats, des ports de gestion ouverts, des comptes de service non protégés ou une segmentation manquante. Après des années de croissance organique, ce regard externe sur l’intérieur est particulièrement utile.

En complément de MDR, XDR, NDR et de la protection firewall

Les technologies Detection and Response sont puissantes, mais elles ne répondent pas à toutes les questions de prévention. Une organisation peut utiliser Sophos Firewall NDR Active Threat Intelligence, XDR ou MDR et conserver des faiblesses dans le Wi-Fi, les applications web ou la segmentation interne. Advisory Services aide à trouver ces lacunes de manière ciblée.

Que préparer avant un test

Le Security Testing ne se fait pas “juste comme ça”. Une bonne préparation détermine si le test produit des résultats exploitables ou seulement du stress.

Clarifier immédiatement

• Quels systèmes et applications sont dans le scope ?
• Quels systèmes ne doivent explicitement pas être testés ?
• Existe-t-il des systèmes de production particulièrement sensibles ?
• Quelles fenêtres de maintenance sont possibles ?
• Qui est l’interlocuteur technique ?
• Qui peut prendre des décisions de risque ?
• Quelles sources de logs sont surveillées pendant le test ?

Préparer avant le test

• Documenter l’autorisation du test et la permission légale.
• Créer une liste de contacts avec numéros d’urgence.
• Vérifier les sauvegardes et la capacité de restauration.
• Informer monitoring, SIEM, MDR ou SOC du test.
• Fournir des comptes de test avec droits définis.
• Documenter les systèmes cibles et versions.
• Impliquer les business owners des applications testées.
• Vérifier si un change freeze est nécessaire pour les systèmes critiques.

Operationaliser après le test

• Transformer les findings en tickets.
• Prioriser les findings critiques et élevés.
• Définir un owner et une échéance pour chaque finding.
• Séparer les quick wins des sujets d’architecture.
• Documenter la remédiation.
• Planifier la validation dans le délai de 90 jours.
• Intégrer les évaluations récurrentes dans la roadmap sécurité.

Limites et attentes réalistes

Sophos Advisory Services peut être très utile, mais ce n’est pas une preuve magique de sécurité.

Un test dépend toujours du scope et du moment. Ce qui n’est pas dans le scope n’est pas évalué. Ce qui est publié ou modifié après le test peut créer de nouveaux risques. Un rapport propre ne prouve donc pas qu’un environnement est “sûr”. Il montre ce qui a été testé dans le cadre convenu et quels risques ont été trouvés.

Autre point important : le service ne corrige pas automatiquement les vulnérabilités. Il fournit findings, priorisation et recommandations. La mise en oeuvre reste la tâche de l’IT, du développement, de l’équipe réseau, de l’équipe sécurité, des prestataires ou des responsables applicatifs. C’est précisément pourquoi un modèle d’ownership après le test est si important.

Il faut aussi distinguer les tests passifs et actifs. Un test actif peut charger des systèmes, déclencher des alertes ou provoquer des effets secondaires inattendus si scope et fenêtres de temps sont mal définis. Ce n’est pas une raison contre les tests, mais une raison pour bien les préparer.

Mon évaluation

Je trouve Sophos Advisory Services intéressant surtout parce que Sophos étend son portefeuille dans une direction logique. Beaucoup d’organisations disposent aujourd’hui de bons produits de protection, mais de trop peu de réalité testée. Il y a Endpoint, Firewall, MDR, sauvegardes, politiques et peut-être quelques documents de compliance. La question difficile reste : est-ce que cela tient si quelqu’un teste vraiment ?

C’est exactement là que s’inscrit Advisory Services. Le service n’est pas la surveillance quotidienne comme MDR et pas la gestion continue des vulnérabilités comme Managed Risk. C’est le contrôle de réalité planifié. Il devient particulièrement précieux lorsque les résultats ne finissent pas dans un tiroir, mais sont convertis en tickets, décisions d’architecture, projets de segmentation et reviews récurrentes.

Ma recommandation : ne pas considérer Advisory Services comme un tampon d’audit ponctuel. Un petit programme est préférable : d’abord vérifier la surface d’attaque externe, puis les applications web critiques, ensuite les mouvements internes et le Wi-Fi. En parallèle, Managed Risk, MDR, logging et reviews firewall devraient assurer la visibilité continue. On obtient ainsi un processus d’amélioration continu plutôt qu’un rapport unique.

FAQ

Plus d’informations

• Page produit Sophos Advisory Services
• Blog Sophos : Introducing Sophos Advisory Services