Un pentest (ou test d’intrusion) d’infrastructure est une méthode d’évaluation de la sécurité d’un système informatique par la démonstration, en réalisant de façon non destructive les actions d’attaquants sur le système réel. Son objectif est de détecter des vulnérabilités exploitables à des fins malveillantes, afin de pouvoir implémenter leur correction ou leur mitigation. Pour s’entrainer, les pentesteurs utilisent des cyber-range afin de disposer d’infrastructures vulnérables de test qui simulent la réalité. On parle aussi parfois de jumeau numérique, lorsque le cyber-range héberge une reproduction fidèle de l’infrastructure réelle.
URSID est un outil permettant le déploiement automatique de cyber-range, développé au sein de l’équipe Inria Pirat, équipe commune à CentraleSupelec/CNRS/Inria/Université de Rennes à l’IRISA. URSID a été utilisé avec succès pour créer Casinolimit, un challenge de pentest web et
infrastructure joué lors du BreizhCTF 2024. Le scénario d’attaque proposé impliquait 7 positions d’attaques, 4 machines virtuelles par instance de jeu et a donc nécessité le déploiement de 600 machines virtuelles. Créer un nouveau scénario à des fins d’entrainement nécessite de bien connaitre les fondamentaux de la modélisation d’architecture vulnérables ainsi que le fonctionnement d’URSID.
Cette formation permet de monter en compétence sur l’utilisation de l’outil URSID pour générer des infrastructures de pentest. A la fin de la formation, l’apprenant sera en capacité de réaliser des infrastructures vulnérables, les personnaliser selon ses besoins de pentesting (web, console, autres protocoles, ainsi que différents types d’attaques) et maîtriser les différentes méthodes de déploiement (en local, dans un cloud privé ou public).
- Cloud, Edge and Virtualisation;
- Module