Un testeur situé à l’adresse 10.10.0.10 reçoit une demande succincte visant à évaluer le réseau interne CORP.LOCAL. En l’absence de délimitation, une requête de découverte pourrait atteindre un hôte non visé, une vérification agressive risquerait de déstabiliser un service du laboratoire, et toute découverte serait impossible à justifier, faute de pouvoir démontrer quels systèmes étaient autorisés. Dans le cadre de ce cours, l’autorisation se limite au laboratoire isolé 10.10.0.0/24 : DC01 (10.10.0.5), SRV01 (10.10.0.20) et WS01 (10.10.0.30). L’accès à Internet est exclu du périmètre. Les opérations restent confinées aux systèmes dont nous sommes propriétaires ou que nous avons contractuellement l’autorisation écrite de tester, conformément aux règles d’engagement établies et à la législation en vigueur, notamment le Computer Fraud and Abuse Act aux États-Unis et le Computer Misuse Act 1990 au Royaume-Uni.
La première décision pratique est donc simple. Le trafic provenant de Kali peut atteindre 10.10.0.5, 10.10.0.20 et 10.10.0.30, mais ne doit en aucun cas s’étendre au-delà des limites du laboratoire. Cette restriction confère toute sa pertinence aux preuves recueillies ultérieurement, car chaque service observé, chaque comportement de compte et chaque configuration relève d’un ensemble de cibles connu. Définissons le périmètre autorisé englobant les quatre systèmes du laboratoire :
Ce schéma illustre pourquoi une adresse IP ne constitue pas, à elle seule, une autorisation. Le sous-réseau et les hôtes nommés délimitent le périmètre d’évaluation, tandis que l’interdiction d’accès à Internet empêche l’exercice en laboratoire de se transformer en une action contre un système non contrôlé.
Une fois le périmètre cible défini, les règles d’engagement constituent les contraintes opérationnelles écrites qui déterminent les activités autorisées, leur calendrier, la gestion des preuves et les conditions d’arrêt des travaux. Un document de règles d’engagement ne relève pas de la simple formalité administrative. Chaque clause influe sur ce qui peut être affirmé avec certitude dans le rapport final et sur ce qu’un réviseur peut reproduire.
Pour CORP.LOCAL, les règles doivent statuer sur cinq points avant le début de la phase de reconnaissance :
10.10.0.0/24 et les hôtes approuvés DC01, SRV01 et WS01.La liste des cibles définit les limites de l’inventaire des services. Les limites de sécurité orientent la manière dont nous évaluons les services exposés. Les règles relatives aux preuves génèrent les éléments constitutifs du journal des constatations, tandis que les conditions d’arrêt garantissent que la sécurité du système prime sur les résultats techniques. Le tableau comparatif ci-dessous associe chaque clause à une valeur concrète pour CORP.LOCAL :