Audits de sécurité

Evaluer en profondeur la sécurité des composants et des processus

Une démarche d’audit orientée « intrusion »

L’objectif d’un audit de sécurité est d’identifier toutes les failles de sécurité dans les configurations et la gestion des composants du Système d’Information.

Grâce à son expérience reconnue en tests d’intrusion et en réponse à intrusion, XMCO garantit des audits pragmatiques, dont le « risque d’intrusion » demeure le fil conducteur.

Les audits se déroulent en trois phases majeures:

  1. Un protocole d’audit avec les points de contrôle est défini
  2. Les interviews sont menés par un consultant senior
  3. Les configurations sont analysées avec la collaboration de vos équipes
Audit de sécurité

Audit système Windows

audit-windows

Audit des configurations et des processus d’administration des systèmes. Nos audits se basent sur votre politique de renforcement et sur les Meilleures Pratiques (SANS, NIST, CIS, PCI DSS).

hardening, patch-management, GPO, antivirus, gestion des sessions, des droits et des mots de passe.

Audit système Linux

audit-linux

Audit des configurations et des processus d’administration des systèmes. Nos audits se basent sur les guides de renforcement des distributions (Redhat / CentOS, Debian, Suse, Oracle). La configuration des services tels que Apache, Tomcat ou Jboss est analysée.

hardening, patch-management, droits, mots de passe…

Audit d’infrastructure réseau

audit-architectureAudit de l’architecture générale, ainsi que de la configuration des équipements réseau, des serveurs d’infrastructures et des règles de filtrage.

Firewalls, VLAN, VPN, Reverse-proxy, DNS, CITRIX…

Audit AD

audit-adAudit de l’architecture générale (forêts, domaines), du renforcement des contrôleurs de domaine, de la gestion des groupes, des GPOs, des partages, des comptes et de la solidité des mots de passe.

NTDS, GPO, NTLM, relations d’approbation…

Audit TOIP / VOIP

audit-toipAudit de la sécurité de votre infrastructure de téléphonie sur IP : IPBX, VLAN voix, postes, switchs, serveur de taxation, enregistreurs, media gateway, etc.

Cisco, Avaya, Alcatel, NICE, SIP, H.323

Audit des mots de passe 

audit-habilitations

Audit des comptes et des mots de passe. Cet audit permet d’évaluer l’application de votre politique de sécurité et d’établir une véritable mesure selon des critères précis : % de mots de passe faibles, % de comptes inutiles, comptes de services, etc.

Toutes technologies : LDAP, AD, applications…

Audit de code

audit-de-codeRecherche en profondeur de vulnérabilités dans votre code source. Notre méthodologie repose sur la combinaison d’une revue du code statique traditionnelle et de tests de sécurité in vivo sur un environnement de recette.

Code review, OWASP, CWE-25, PCI DSS #6.3

Audit d’homologation ARJEL

audit-arjel

Audit de sécurité intrusif des applications et du code source, en amont de votre certification ARJEL. Ces audits conjuguent des analyses de configuration et des tests d’intrusion permettant de mettre en évidence les vulnérabilités réellement exploitables.

Audit des postes de travail

audit-poste-de-travail

Audit des restrictions, des correctifs systèmes et applicatifs, du chiffrement, des mots de passe locaux, des scripts, etc. Nous testons également le niveau de protection offert par votre proxy et votre messagerie contre les malwares.

Postes fixes, portables, bureaux virtuels, tablettes…

Audit base de données

audit-base-de-donneesAudit de la configuration du moteur, des mots de passe, des droits d’accès, des permissions sur les tables sensibles, des restrictions des comptes de services et des processus d’installation des mises à jour de sécurité.

Oracle, SQL Server, PostgreSQL, MySQL

Audit SAP

audit-SAPAudit de la sécurité de l’ensemble des briques de votre ERP : bases de données, systèmes, réseau, chiffrement, GUI, serveurs d’applications, batchs, APIs, comptes et mots de passe.

R/3, SAPRouter, Netweaver, SAPGUI, SAP DIAG, RFC, ICM

Audit Exchange

audit-messagerieAudit de la configuration et de l’administration de votre messagerie : gestion des droits, des mots de passe, des correctifs de sécurité, des fichiers, systèmes, sauvegarde, protection antivirus et antispam.

Exchange, webmail OWA, SMTP…

Audit virtualisation

audit-hyperviseurAudit de la sécurité de votre plateforme de virtualisation : renforcement des hyperviseurs, patch-management, étanchéité entre les machines virtuelles, segmentation des réseaux virtuels, gestion des comptes d’administration, sécurité du SAN, processus d’administration, etc.

VMware, vSphere, vCenter, XenDesktop, Hyper-V

Audit BIG DATA

audit big dataAudit de sécurité de toute votre infrastructure Big Data : Collecte, Traitement, Stockage et Data-Visualization. Audit des systèmes, des applications et de l’administration de l’ensemble.

ElasticSearch, HDFS, Hadoop, RabbitMQ, LogStash, Kibana, Docker, Cloudera, Xen

Audit organisationnel

audit-orgaAudit de la sécurité votre organisation, de votre politique de sécurité, de vos procédures et du renforcement du votre SI.

ISO 27001/27002, SMSI