Internal

Les tests d'intrusion de réseau interne se concentrent sur l'évaluation de la sécurité du point de vue d'un attaquant qui a déjà obtenu l'accès au réseau d'entreprise. Contrairement aux évaluations externes qui testent les défenses périmétriques, les tests internes évaluent jusqu'où un attaquant peut progresser une fois à l'intérieur - identifiant les opportunités de mouvement latéral, les faiblesses des services internes et les chemins d'escalade de privilèges qui pourraient mener à une compromission complète de l'infrastructure.

Découverte et énumération des services internes

Les réseaux d'entreprise hébergent généralement de nombreux services internes qui ne sont pas exposés à Internet mais peuvent avoir des contrôles de sécurité plus faibles que les systèmes exposés en externe. L'analyse réseau et l'énumération des services au sein du réseau interne révèlent des bases de données, des panneaux d'administration, des outils de surveillance et des applications héritées que les administrateurs supposaient sûres car non accessibles publiquement. Ces services internes fonctionnent souvent avec des identifiants par défaut, des logiciels obsolètes ou des contrôles d'accès minimaux, ce qui en fait des cibles précieuses lors des tests d'intrusion.

Injection de commandes dans les applications internes

Les applications web internes - telles que les outils de surveillance réseau, les panneaux d'administration système et les tableaux de bord DevOps - intègrent fréquemment des commandes système pour fournir des fonctionnalités comme les tests ping, les recherches DNS ou la récupération de logs. Ces applications sont des cibles de choix pour l'injection de commandes car les développeurs implémentent souvent une validation des entrées moins rigoureuse pour les outils internes, supposant une base d'utilisateurs de confiance. L'exploitation de l'injection de commandes dans les applications internes fournit un point d'ancrage à partir duquel les attaquants peuvent énumérer le système, accéder aux données sensibles et établir un accès persistant.

Capacités Linux et escalade de privilèges

Les capacités Linux fournissent une alternative plus granulaire au modèle de privilèges traditionnel root/non-root. Au lieu d'accorder un accès root complet via SUID, des capacités spécifiques peuvent être attribuées aux binaires - par exemple, CAP_NET_RAW pour la capture de paquets ou CAP_DAC_READ_SEARCH pour contourner les vérifications de permissions de lecture de fichiers. Cependant, des capacités mal configurées peuvent créer des vecteurs d'escalade de privilèges. Un binaire avec CAP_SETUID peut changer son identifiant utilisateur en root, tandis que CAP_DAC_READ_SEARCH permet de lire n'importe quel fichier sur le système. Comprendre les capacités Linux et comment elles peuvent être exploitées est une compétence avancée d'escalade de privilèges essentielle pour des évaluations de sécurité internes approfondies.