Choisir et organiser ses outils : une méthode avant une liste

Le débutant se demande souvent « quels outils dois-je installer ? ». Le professionnel se demande plutôt « quelle question dois-je résoudre, et quel outil me répond le plus proprement ? ». Cette leçon vous aide à organiser votre poste de travail et votre démarche pour que les outils servent la méthode, et non l'inverse.

Dans les trois premières leçons, vous avez posé le cadre légal, choisi le type de test et rédigé l'autorisation. Avant de commencer la reconnaissance, il faut un environnement propre. Mais une précision importante : ce cours ne vous fournit aucun lien de téléchargement et ne recommande aucun logiciel obtenu illégalement. Les outils utilisés dans la profession sont, pour l'essentiel, gratuits, open source ou disponibles avec une licence officielle. Un logiciel piraté ou une « version crackée » d'un outil de sécurité est l'un des moyens les plus courants de s'infecter soi-même.

Les phases d'un pentest et les familles d'outils

Un test d'intrusion suit un fil logique. Chaque phase a ses questions, et c'est la question qui guide le choix de l'outil.

Vous rencontrerez dans les chapitres suivants des outils comme Nmap (scan de réseau), Wireshark (analyse de trafic), Burp Suite (proxy web), Metasploit (framework de test) ou des outils de test de mots de passe. Ils sont mentionnés ici de façon factuelle, comme les instruments du métier, sans comparaison commerciale.

Un poste de travail propre et isolé

Voici l'organisation recommandée pour votre labo, qui prolonge ce que vous avez vu dans le cours sur les systèmes et les réseaux :

• Une machine virtuelle d'attaque, par exemple basée sur une distribution de test d'intrusion comme Kali Linux, installée dans VirtualBox ou VMware ;
• Des machines cibles volontairement vulnérables, dans un réseau interne isolé (réseau privé d'hôte ou réseau interne) sans accès à Internet ;
• Des instantanés (snapshots) à chaque étape importante, pour revenir à un état propre ;
• Une machine hôte à jour, qui ne contient aucun document sensible dans les dossiers partagés avec les machines virtuelles ;
• Un réseau domestique séparé : les machines cibles ne doivent jamais être en pont (bridge) avec votre réseau local.

Les plateformes d'entraînement en ligne (TryHackMe, HackTheBox) proposent leurs propres machines à cibler : vous vous y connectez par un accès VPN fourni et vous respectez leurs règles. Là aussi, vous ne testez que les machines qu'elles mettent à disposition, pas leurs serveurs ni les autres participants.

Organiser ses notes : le carnet de mission

La compétence la plus sous-estimée d'un testeur est la prise de notes. Un rapport de qualité se construit pendant le test, pas après. Dès le début, tenez un carnet avec une structure constante :

• Un journal chronologique : date, heure, cible, commande ou action, résultat ;
• Une fiche par machine : adresse, système, services, comptes découverts, vulnérabilités, état ;
• Une liste des preuves : captures d'écran, extraits de journaux, avec le nom du fichier et l'heure ;
• Une liste de pistes : ce qui reste à vérifier ;
• Une section « questions au client ».

Voici un exemple d'organisation de dossiers pour la mission :

mission-verdelune/
  00-cadre/          autorisation, périmètre, règles d'engagement
  01-reconnaissance/ résultats de scans, notes de sources ouvertes
  02-vulnerabilites/ listes de failles candidates, références CVE
  03-exploitation/   journal des tentatives, preuves
  04-post-exploitation/
  05-rapport/        brouillons, captures, version finale
  journal.md         journal chronologique de la mission

Et un extrait de journal, qui illustre le niveau de détail attendu :

2026-05-12 18:05  Début de la phase de reconnaissance (réseau 192.168.56.0/24)
2026-05-12 18:12  Découverte de 3 hôtes actifs, notés dans 01-reconnaissance/hotes.txt
2026-05-12 18:40  Scan de ports sur serveur-web-lab : 3 ports ouverts (voir scan-web.txt)
2026-05-12 19:10  Hypothèse : version de service ancienne, à vérifier en base de CVE

La reproductibilité : écrire pour quelqu'un d'autre

Un bon carnet est un carnet qu'un collègue pourrait relire six mois plus tard pour refaire exactement la même démarche. Pour cela, notez toujours :

• la commande complète avec ses options, pas seulement le nom de l'outil ;
• le contexte : depuis quelle machine, avec quel compte, à quelle heure ;
• le résultat brut (ou le nom du fichier qui le contient) et votre interprétation, clairement séparés ;
• le degré de certitude : fait vérifié, hypothèse ou piste non confirmée.

Cette séparation entre faits et interprétations est capitale. Dans un rapport, un client doit pouvoir distinguer ce qui a été démontré de ce qui est supposé. Elle vous évitera aussi de vous raconter une histoire plausible mais fausse, un travers très humain quand on cherche une faille depuis longtemps.

Journaliser pour se protéger

Garder une trace de toutes vos actions n'est pas une manie : c'est ce qui permet de rejouer une démonstration, de prouver que vous êtes resté dans le périmètre et d'expliquer un incident si un service tombe pendant le test. Beaucoup de testeurs enregistrent aussi leurs sessions de terminal. Sur une mission réelle, vous conserverez ces traces de façon sécurisée (disque chiffré) et vous les supprimerez à la fin du contrat selon ce qui a été convenu.

Éviter les pièges classiques

• L'empilement d'outils : vingt outils installés, aucun maîtrisé. Mieux vaut en connaître cinq en profondeur.
• Les scripts trouvés au hasard : n'exécutez jamais un programme dont vous ne comprenez pas le fonctionnement, même en labo. Lisez-le, vérifiez sa provenance et testez-le dans une machine jetable.
• Les outils piratés : ils sont souvent piégés. Utilisez les dépôts officiels et les sources reconnues.
• Le mélange des environnements : ne naviguez pas sur vos comptes personnels depuis la machine d'attaque et ne connectez pas vos clés USB personnelles à vos machines vulnérables.
• L'oubli de la mise à jour : votre machine d'attaque doit être tenue à jour. Un testeur compromis est un risque pour ses clients.

À vous de jouer : préparer l'espace de la mission

Créez la structure de dossiers ci-dessus sur votre machine, ouvrez votre journal et notez : (1) la liste des machines virtuelles prévues et leur rôle, (2) l'état des instantanés propres, (3) la vérification que le réseau du labo est isolé d'Internet. Puis écrivez trois critères qui vous permettront de décider si un nouvel outil mérite d'être ajouté à votre boîte à outils.

Le cadre est posé, l'espace de travail prêt : nous entrons dans la première phase technique, la reconnaissance.