Service en ingénierie informatique ;

Éditeurs de logiciels (Startup) ;

Entreprises tous secteurs confondus (Banques, énergie, ministères, opérateurs Télécom, systèmes boursiers).

Par quels moyens ? (alternance, stage...)

.....................................

Au niveau de l’expérience
*minimum 2 ans dans l’administration système et réseau et dans la cybersécurité
*Certification  CEH et OSCP

Au niveau des compétences (Prérequis)

...........................................................

Période d’essai et de formation

..........................................

Perspectives d'emploi et évolution de travail
Le Testeur d’Intrusion peut commencer sa carrière comme : 
*Pentester (Détecteur de vulnérabilité) ;

*Professionnel en cybersécurité ;

*Évaluateur de la sécurité des technologies de l'information ;

*Développeur de scripts de sécurisation ;

*Intégrateur de solutions de sécurité ;

*Consultant en sécurité.

*Responsable Pentest ;

*InfoSec directeur ;

*Data Protection Officer DPO ;

*Auditeur de sécurité informatique ;

*Consultant cybersécurité ;

*Cryptologue ;

*Responsable de sécurité des systèmes d’informations ;

*Analyste SOC ;

*Développeur solution de sécurité ;

*Expert juridique en cybersécurité.

Egalité femme/homme
....................................................

Impact sur l'environnement:
.............................................................

Evolution de la fonction du travail
..............................................................

Aspect matériel et technique : 
Nécessite de travailler sur un ordinateur performant, bonne connexion internet obligatoire, avoir la capacité d’entrer en contact par téléphone ;

Risques inhérents à la santé :
stress lié au temps de travail et à la durée de test d’intrusion qui diffère selon le système à tester ;

Autonomie :
Travaille principalement sous la direction des administrateurs système et réseau.

*Curieux ;

*Dynamique ;

*Réactif ;

*Créatif ;

*Disponible ;

* Faire preuve de confidentialité ;

*Avoir le goût du défi ;

Points de vigilance
1) Préparer, piloter et réaliser des missions de test de sécurité sur les différentes composantes du SI (infrastructures et applications) ;
*Respecter l’aspect réglementaire ;
*Respecter le cahier de charges des tests à effectuer ;
*Pouvoir détectés, tester et exploiter les intrusions ;
*Maitriser les étapes et techniques des tests d’intrusion ;
*Respecter la durée allouer à l’opération. 

2)Rédiger les rapports de missions et proposer, en coordination avec les équipes techniques, les éventuelles évolutions et corrections à mettre en œuvre ;
*Savoir identifier les éléments du rapport ;
*Générer un rapport technique et synthétique ;
*Bien présenter le rapport ;
*Evaluer les risques et proposer des remédiations.

3)Assurer une veille cybersécurité afin d’identifier et d’anticiper les cybermenaces ;
*Rester informé à propos des nouvelles menaces et nouvelles techniques ;
* Rester informé à propos de la RGPD, les lois 09/08 et 05/20 *Toujours pratiquer.

Incidences de ces exigences au niveau de la formation

Ne pas pratiquer /Non maîtrise des techniques et outils/ ne cherche pas les nouvelles attaques :
*incapable de détecter et exploiter les vulnérabilités *proposer des remédiations

Non connaissance des Lois de protection des données et RGPD---
*divulgation des données/ fausse manipulation

Manque de compétences rédactionnel et de reporting -----
*Incapable de rédiger et présenter un rapport claire et *synthétique qui répond à l'objectif de la mission

Répondre au cahier des charges fonctionnel du projet
Livrer les fonctionnalités développées dans le respect du cahier des charges fonctionnel
Inscrire le projet dans une démarche d'amélioration continue
Réaliser une démarche R&D

●       Sur son lieu de travail.

●       Chez le client

 

Sous la supervision du :  Responsable du système d’information, Auditeur de sécurité, Chef de la mission 

Cette tâche se fait en participant à des réunions avec le chef de mission et du directeur SI, pour déterminer les besoins et contraintes de la mission ;

 

En contact avec : Les chefs des services concernés, le chef de projet 

 

●       Document de contexte réglementaire ;

●       Besoin détaillé du client ;

●       Périmètre de test SI ;

●       Plan et type de test nécessaire ;

 

●       Outils bureautiques (suite Office 365) ;

●       Outils de planification (Gantt) ;

●       Outils de Design pour schématiser des points du projet (Canva).

 

●       Besoin mal exprimé ;
Le niveau de test requis

●       Le mauvais choix du type de test ; 

●       Faible connaissance en infrastructure réseau ;

Temps de réalisation sous-estimé. 

Critère de performance

Vérifier les points suivants :

●        Pouvoir comprendre et reformuler les besoins du client ;

●       Comprendre le périmètre du projet ;

●       Avoir des connaissance solide sur les systèmes d’informations et les technologies informatiques ;

●       La capacité rédactionnelle des spécifications fonctionnelles et techniques dans les deux langues française et anglaise ;

●       Esprit analytique pour définir comprendre, découper en phases et planifier le projet ;

●       Pouvoir identifier le type de Pentest demandé et les techniques à utiliser ;

●       Bien mesurer les complexités des tâches ;

●       La bonne estimation de la charge du travail (La durée) ;

●        La bonne maîtrise des méthodes de test à déployer ;

●       La maîtrise des méthodes de planification ;

●       Bonne connaissance de la RGPD, de la loi 09-08 relative à la protection des données personnelles et la loi 05-20 relative à la cybersécurité ;

●       Manifestation des attitudes et des qualités suivantes :

-         La bonne écoute ;

-         La communication efficace pour comprendre le besoin ;

-        L’esprit méthodique et d’organisation ;

Sur son lieu de travail.
Chez le client

La personne effectue son travail
Sous la supervision du :  Responsable du système d’information, Auditeur de sécurité, Chef de la mission 

Collaboration et degré d’autonomie
Cette tâche se fait en participant à des réunions avec le chef de mission et les Directeurs de l’entreprise, pour déterminer les besoins et contraintes de la mission ;
En contact avec : Les chefs des services concernés, le chef de projet 

Documents et support technique
Document de contexte réglementaire ;
 Besoin détaillé du client ;
Périmètre de test ;
Plan et type de test nécessaire ;

 Matériel et outillage
Outils bureautiques (suite Office 365) ;
Outils de planification (Gantt) ;
Outils de Design pour schématiser des points du projet (Canva).

 Facteurs de stress
 Besoin mal exprimé ;
Le mauvais choix du type de test ;
Faible connaissance en infrastructure réseau ;
Temps de réalisation sous-estimé.

Critères de performance 

Vérifier les points suivants :
*Pouvoir comprendre et reformuler les besoins du client ;
*Comprendre le périmètre du projet ;
*Avoir des connaissance solide sur les systèmes d’informations et les technologies informatiques ;
*La capacité rédactionnelle des spécifications fonctionnelles et techniques dans les deux langues française et anglaise ;
*Esprit analytique pour définir comprendre, découper en phases et planifier le projet ;
* Pouvoir identifier le type de Pentest demandé et les techniques à utiliser ;
* Bien mesurer les complexités des tâches ;
*La bonne estimation de la charge du travail (La durée) ;
*La bonne maîtrise des méthodes de test à déployer ;
* La maîtrise des méthodes de planification ;
* Bonne connaissance de la RGPD, de la loi 09-08 relative à la protection des données personnelles et la loi 05-20 relative à la cybersécurité ;
*Manifestation des attitudes et des qualités suivantes :
La bonne écoute ;
La communication efficace pour comprendre le besoin ;
L’esprit méthodique et d’organisation ;

 La personne effectue son travail
Sous la supervision du :  Responsable du système d’information, Auditeur de sécurité, Chef de la mission. 

Collaboration et degré d’autonomie
Cette tâche se fait en utilisant des outils d’exploitation de vulnérabilités en utilisant l’ensemble de informations collectées lors de la détection des vulnérabilités. 
En contact avec : Les chefs des services concernés, le chef de projet.

Documents et support technique
●       Cartographie du réseau ;
●       Document contenant les données collectées lors de la phase de collecte ;
●       Liste des vulnérabilités organisées par ordre de priorité ●       Document regroupant la liste des vulnérabilités détectés lors de la phase de détection de vulnérabilités.

Matériel et outillage
●       Outils d’exploitation de vulnérabilités : Nmap, Searchsploit et Metasploit, Wireshark, Owasp ZAP.
●       Ordinateur puissant avec système d’exploitation Windows ou Linux connecté au réseau ;
●       Outils de représentation des scénarios d’exploitation des vulnérabilités ;
●       Outils de Design pour schématiser des points du projet (Canva).

Facteurs de stress
●       Ne pas pouvoir détecter toutes les vulnérabilités ou aucune n’a été détecté ;
●       Ne pas réussir l’exploitation des vulnérabilités détectés ;
●       Le mauvais choix des outils d’exploitation de vulnérabilités ;
●       Faible maîtrise des outils d’exploitation ;
●       Faible connaissance en infrastructure réseau et des outils d’exploitation de vulnérabilités ;
●       Temps de réalisation sous-estimé.
●       Le non-respect des règles et contraintes définies lors de la phase d’analyse.
*Non-respect de la loi 09-08 de protection des données personnelles et la loi 05-20 relative à la cybersécurité et la RGPD

Critère de performance

Vérifier les points suivants :
●       Très bonnes connaissances des techniques d’attaques sur : les Applications web, Applications mobiles, Réseau et infrastructure de sécurité, Sécurité physique, Ingénierie sociale… ;
●       Avoir des connaissances solides sur les systèmes d’informations et les technologies informatiques d’exploitation de vulnérabilités ;
●       Maîtriser les techniques d’exploitation : SQL Injection, XSS, vulnérabilité d'un module PHP et d'un CMS.
●       Maîtriser les attaques par dénis de service distribués (DDoS).
●       Maîtriser les attaques par débordement (buffer overflow).
●       Exploitation de failles dans le code source. Techniques similaires : "Format String", "Heap Overflow".
●       COMPRENDRE LES ATTAQUES SUR TCP/IP:
-        Le "Spoofing" IP.

-        Attaques par déni de service.

-        Prédiction des numéros de séquence TCP.

-        Vol de session TCP : Hijacking (Hunt, Juggernaut).

-        Attaques sur SNMP.

-        Attaque par TCP Spoofing (Mitnick) : démystification.
●       Attaques sur les données cryptées : "Man in the Middle" sur SSH et SSL, "Keystoke Analysis" sur SSH.
●       Mise en place de backdoors et de trojans.
●       Password Attacks, Generation des Wordlistes (Banque de mot de passe) avec Crunch
●       Password Attacks, Génération des Wordlistes (Banque de mot de passe) avec Cewl
●       Le téléchargement de scripts sur les clients, exploitation de bugs des navigateurs.
●       Pouvoir identifier les outils adéquats pour l’exploitation de vulnérabilités (Nmap, Searchsploit et Metasploit, Wireshark, Owasp ZAP …) ;
●       Connaissance et consultation des méthodologies importants de Pentest (OWASP, SANS CWE 25, OSSTMM, Bonnes pratiques AINSI …) ;
●       Maîtrise d’au moins un langage de programmation pour la création de script d’automatisation de l’exploitation (Python, C++, PHP …)
●       La bonne maîtrise des méthodologies de test à déployer OWASP, PTES, OSSTMM ;
●       Être à jour par rapport au derniers attaques et menaces ;
●       Être à jour par rapport aux nouvelles outils de détection de vulnérabilités ;
●       Bonne connaissance de la RGPD, de la loi 09-08 relative à la protection des données personnelles et la loi 05-20 relative à la cybersécurité
●       Manifestation des attitudes et des qualités suivantes :
-         La communication efficace avec le chef et les services concernés ;
-        L’esprit méthodique et d’organisation ;
-        Capacité d’analyse des données collectées
Persévérance 

●       Très bonnes connaissances sur les domaines à tester (Applications web, Applications mobiles, Réseau et infrastructure de sécurité, Sécurité physique, Ingénierie sociale)

●       Avoir des connaissances solides sur les systèmes d’informations et les technologies informatiques d’exploitation de vulnérabilités ;

●       Connaissance et consultation des méthodologies importants de Pentest (OWASP, SANS CWE 25, OSSTMM, Bonnes pratiques AINSI …) ;

●       Bonnes connaissances en cybersécurité et des bonnes pratiques de sécurisation des systèmes ;

●       Consultation des plateformes qui fournissent des bonnes pratiques de remédiation et sécurisation des systèmes comme OWASP, PTES ;

●       Être à jour par rapport au derniers attaques et menaces consulter OWASP ;

●       Consulter National Institute of Standards and Technology (NIST) ;

●       Bonne connaissance de la RGPD, de la loi 09-08 relative à la protection des données personnelles et la loi 05-20 relative à la cybersécurité

●       Manifestation des attitudes et des qualités suivantes :

-         La communication efficace avec le chef et les services concernés ;

-        L’esprit méthodique et d’organisation ;

-        Capacité d’analyse ;

-        Persévérance

-        Résolution de problèmes

-        Rigueur et méthodologie ;

-        Capacité rédactionnelle ;

-        Capacité d’investigation ;

●       Chez le client

La personne effectue son travail
Sous la supervision du :  Responsable du système d’information, Auditeur de sécurité, Chef de la mission 

Cette tâche se fait en consultant les plateforme des bonnes pratiques ou d’actualité ou en passant des formations de perfectionnement sous la direction du supérieur.

Documents et support technique
Site et application de Bug Bounty ;

Site de bonnes pratiques ;

Blogs ;

CERT ;
Forums.

Matériel et outillage
●       Ordinateur connecté à internet ;

●       Téléphone ;

●       Accès à une plateforme de formation.

Facteurs de stress
Gestion du temps ;

Avoir trop d’informations et pouvoir en trier les pertinentes ;
Être dépassée ;

Critère de performance

Vérifier les points suivants :
●       Se préparer pour passer des certification en cybersécurité et pentest CEH, OSCP … ;

●       Se renseigner en permanence sur les nouvelles technologies ;

●       Consulter les site qui publient les nouvelles attaques OWASP, PTES ; 

●       Maintenir les compétence à jour : Consulter CERT ;

●       Consulter National Institute of Standards and Technology (NIST) ;

●       Pratiquer sur des site de Bug Bounty, CTF ;

●       Consulter les sites des bonnes pratiques de sécurisation des systèmes d’informations comme PETS … ;

●       Se former en permanence sur la RGPD, la loi 09-08 relative à la protection des données personnelles et la loi 05-20 relative à la cybersécurité ;
agences de réglementations ANRT ACAPS

●       Manifestation des attitudes et des qualités suivantes :

-        Curiosité ;

-        Dynamisme ;

-        Défi ;

-        Passion ;

-        Esprit ouvert.

Pour bien organiser son activité le Testeur d’Intrusion doit se doter des principes suivants :

·        La discipline ;

·        Travail en équipe ;

·        Suivre un plan de travail ;

·        Respecter les contraintes de confidentialités définies par l’entreprise ;

·        Faire preuve d’agilité dans le projet ;

·        Capacité à argumenter ses choix dans le cahier des charges techniques si besoin ;

·        Communiquer avec les responsables ;

·        Très bonnes capacités rédactionnelles ;

·        Bonne expression orale et écrite ;

·        Sens de la communication ;

·        Capacité à proposer des solutions. 

·        Outils de Pentest : Nessus, Metasploit, Nmap, ngro, hashcat, burpsuite, Aircrack-ng, Nmap, Searchsploit, Wireshark, Owasp ZAP;

·        Connaissance des outils de reconnaissance passive : OSINT (TheHarverster, recon-ng, Shodan, NexVision, Social Links, Maltego… ;

·        Langage de programmation Python, Shell et PowerShell ;

·        Connaissances basique sur le cloud : AWS, Microsoft Azure … ;

·        Connaissances des bonnes pratiques d’exécutions des tests sur PTES ;

·        Connaissance des outils de reconnaissance passive : OSINT ;

·        Maîtrise de la Programmation avec Python, Shell et PowerShell ;

·        Connaissances techniques sur l’infrastructure réseau (Pare-feu, Routeur, Commutateur, IPS, IDS) ;

·        Connaissance de base sur les protocoles réseau (SSH, FTP, RDP, DNS, SMTP…)

·        Bonnes connaissances de cryptographie ;

·        Connaître les méthodologies de Pentest : OWASP, PTES, OSSTMM ;

·        Avoir une bonne Sensibilisation à la RGPD ;

·        Connaître les 10 failles de sécurité publiées par OWASP ;

·        Savoir utiliser les scanner de vulnérabilités comme Nessus ;

·        Consulter National Institute of Standards and Technologie (NIST) ;

·        Savoir utiliser des outils de Pentest Metaspoilt ou autres ;

·        Avoir un bon sens Rédactionnel en Français et en anglais ;

·        Sensibilisation aux Lois 09-08 et 05-20 ;

·        Savoir être en entreprise.

Ethical hacker

Professionnel cybersécurité
Auditeur de sécurité --- Auditeur 
Red Teamer

·        Prévoir des écrans anti-lumière pour éviter les risque de fatigue visuelle suite à l’utilisation prolongée des écrans ;

·        Veiller à l’ergonomie du poste de travail pour éviter les risques de tensions corporelles liés à la position assise prolongée ;

·        Confidentialité des données du client.

·        Séparation de temps privé et professionnel ;

·        Empathie : Savoir se mettre à la place de son interlocuteur ;

·        Sens de l'anticipation : Prévoir les situations compliquées ;

·        Esprit de synthèse : Résumer des idées ;

·        Ecoute active : Reformuler la demande de son interlocuteur ;

·        Rapidité : Être agile selon les contextes ;

·        Organisation : Gérer des échéances ;

·        Gout pour la nouveauté : Découvrir de nouvelles techniques et outils ;

·        Capacité d’adaptation : Faire face aux imprévus, savoir s’adapter aux différents interlocuteurs de l’entreprise ;

·        Capacité à concrétiser : Être orienté résultats ;

·        Innovation : Savoir sortir des sentiers battus ;

·        Créativité : Savoir imaginer des solutions innovantes ;

·        Curiosité intellectuelle : Avoir l’envie d’apprendre ;

·        Autonomie : Savoir prendre des décisions.

·        Sens du challenge ;

·        Résilience : Développer sa persévérance ;

·        Preuve d’ouverture et de créativité :

·        Sens de l’éthique professionnelle ;

·        Communication : essentielles pour faire passer les messages et accompagner les opérationnels à travers un plan d’action concret. 

·        Capacité à gérer le stress : Prendre du recul sur les situations, les analyser, demander de l’assistance, réagir de manière adaptée ;

·        Polyvalent : Savoir exécuter et réaliser des tâches variées ;

·        Sens de la pédagogie : Prendre le temps avec son interlocuteur, savoir reformuler, utiliser des méthodes adaptées pour se faire comprendre ;