Tests d'intrusion PCI DSS

Définition du périmètre PCI-DSS

La norme PCI DSS pose plusieurs challenges, et le premier d'entre eux intervient dès l'étape préliminaire : la définition du périmètre d'audit. Cette démarche est essentielle, car un périmètre mal défini compromet la pertinence des tests réalisés.

Chez AlgoSecure, nous commençons chaque mission PCI DSS par une phase d'identification et de validation du périmètre. Celle-ci inclut :

1. L'ensemble des applications, services, hôtes et infrastructures exposés sur Internet
2. Les composants internes interconnectés avec l'environnement de traitement des cartes
3. L'environnement de traitement des cartes (CDE : Cardholder Data Environment)

Définition des tests

Une fois le périmètre défini en collaboration avec vos équipes techniques et votre RSSI, les jeux de tests à effectuer sont déterminés. L'ensemble des tests réalisés vise à évaluer la conformité de votre système d'information face aux 12 exigences de la dernière version de la norme PCI DSS.

Comme il l'a été mentionné, la norme PCI DSS offre une certaine marge d'interprétation qui peut être propre à chaque QSA (Auditeur de Sécurité Qualifié) en charge de votre audit.

Par exemple, sur le volet “Gestion du chiffrement des données et des suites cryptographiques utilisées”, la norme PCI DSS va challenger l'ensemble de la chaîne, aussi bien sur des aspects à haute complexité technique (avec les exigences 4.x et 12.3.3) que sur des processus organisationnels complexes (avec les exigences 3.6.x et 3.7.x).

Les auditeurs ont pour rôle de tester le SI mais aussi et surtout, d'expliquer en détail les différentes non-conformités identifiées, lors d'échanges techniques et organisationnels approfondis. Ce dialogue continu entre auditeurs AlgoSecure et vos équipes internes est fondamental pour non seulement corriger les écarts, mais aussi pour structurer durablement une gouvernance de la sécurité conforme aux meilleures pratiques du secteur.

Le pentest agile

Devant le nombre croissant de tests à effectuer, qu'il s'agisse des évaluations annuelles obligatoires ou des audits déclenchés par des changements majeurs du système d'information (montée de version applicative, remplacement d'un pare-feu, évolution d'une architecture réseau), AlgoSecure propose une approche de pentest « agile ».

Grâce à l'expertise acquise au fil des tests et à la connaissance progressive de votre SI, nos équipes sont en mesure de maximiser l'efficacité et la précision des tests. Chaque nouvelle campagne s'appuie sur l'historique des analyses précédentes, ce qui permet une meilleure anticipation des risques, une couverture plus fine des scénarios d'attaque, et un temps de réponse optimisé.

Cette approche permet également de fluidifier les échanges, de capitaliser sur les outils et processus existants, et d'adapter les campagnes de tests aux cycles de vie réels de vos actifs. Elle s'intègre ainsi naturellement dans une démarche DevSecOps ou de gouvernance continue de la sécurité.

Le premier rempart : les tests de segmentation

Parmi les tests obligatoires pour la conformité PCI DSS, les tests de segmentation réseau jouent un rôle fondamental. Ils permettent de vérifier que l'environnement de traitement des cartes (CDE - Cardholder Data Environment) est correctement isolé du reste du système d'information, notamment des zones dites « non sûres ».

Ces tests doivent être réalisés tous les six mois, et également systématiquement après tout changement significatif de l'architecture réseau, comme l'ajout d'une DMZ, la création de nouveaux VLANs ou encore la migration vers une infrastructure cloud.

Ils ont pour but de valider l'efficacité des mécanismes de segmentation tels que les pare-feux, les listes de contrôle d'accès (ACL), les VLANs ou encore les architectures SDN. Leur objectif est d'assurer que certaines parties du réseau n'ont aucun accès possible au CDE, réduisant ainsi les risques d'intrusion.

Le déroulement du test repose sur une approche empirique. L'auditeur AlgoSecure se connecte à une sélection de VLANs internes représentant des zones hors CDE ainsi qu'à des VLANs faisant partie du CDE. Des tentatives de communication entre chaque segment sont alors effectuées, en testant différents protocoles (ICMP, TCP, UDP) pour identifier les flux ouverts.

Chaque communication ouverte entre un VLAN et un service situé dans un autre VLAN, est analysée afin de déterminer la légitimité des flux. En cas de flux non documentés ou suspects, un échange avec les équipes techniques est engagé pour en comprendre l'origine et sa nécessité. Une matrice de flux complète, accompagnée d'une explication technique pour chaque ouverture observée, est ensuite produite et transmise.

Ce processus s'intègre naturellement dans notre démarche agile : un premier jeu de tests est effectué lors des audits principaux, puis un second six mois plus tard avec un effort réduit grâce à la connaissance déjà acquise de votre environnement.

Les tests de segmentation constituent ainsi une première ligne de défense, essentielle pour garantir une séparation efficace entre les composants critiques et les autres parties de votre réseau réduisant le périmètre d'attaque à son minimum.