Qu'est-ce que le VAPT ? L'évaluation des vulnérabilités et les tests d'intrusion expliqués

VAPT signifie Vulnerability Assessment and Penetration Testing, soit l'évaluation des vulnérabilités et les tests d'intrusion. Il s'agit d'un terme générique désignant deux activités de sécurité complémentaires : identifier les faiblesses d'un système (l'évaluation des vulnérabilités) et prouver en toute sécurité lesquelles peuvent effectivement être exploitées (le test d'intrusion).

Dans le domaine du test logiciel, le test d'intrusion est le pendant du test fonctionnel sur le plan de la sécurité : au lieu de vérifier que le logiciel fait ce qu'il doit faire, il vérifie si un attaquant peut lui faire faire ce qu'il ne devrait pas faire.

Une évaluation des vulnérabilités relève de l'étendue. Elle identifie et répertorie de manière systématique les faiblesses potentielles d'un système, correctifs manquants, configurations faibles, services exposés, à l'aide d'une combinaison d'outils et d'analyses. Le résultat est un inventaire de ce qui pourrait poser problème.

Un test d'intrusion relève de la profondeur. Il est principalement manuel et va plus loin en tentant d'exploiter les faiblesses qu'un attaquant utiliserait réellement, en les enchaînant, en contournant les contrôles et en accédant à des données ou à des fonctions auxquelles il ne devrait pas accéder. Le résultat est la preuve de ce qui peut réellement être fait, et de sa gravité.

À elle seule, une évaluation des vulnérabilités produit une liste longue et non priorisée, souvent gonflée de faux positifs et de problèmes théoriques qu'aucun attaquant ne pourrait atteindre. À lui seul, un test d'intrusion peut approfondir quelques pistes mais manquer d'étendue.

Combinés sous la forme du VAPT, vous obtenez les deux : une vue d'ensemble de l'emplacement des faiblesses, ainsi qu'une preuve validée et exploitée de celles qui comptent réellement, de sorte que la remédiation soit ordonnée selon le risque réel plutôt que selon la criticité attribuée par un scanner.

Périmètre : le VAPT peut cibler les applications web, les API, les environnements cloud, les réseaux internes et externes ainsi que les applications mobiles, convenu par écrit avant le début de tout test.

Méthode : un bon VAPT est principalement manuel, l'outillage venant en appui. Les tests sont menés sur des environnements convenus avec des comptes convenus, et ne déclenchent jamais d'actions destructrices ou susceptibles d'affecter la disponibilité sans validation explicite.

Livrable : un rapport écrit comprenant une synthèse à l'intention des dirigeants, des constats reproductibles (étapes précises et éléments de preuve), une remédiation ordonnée selon le risque réel et, lorsque cela est convenu, un nouveau test confirmant que les correctifs tiennent.

Un scan de vulnérabilités est une vérification automatisée des problèmes connus, et il ne constitue qu'un des éléments de la composante évaluation du VAPT. Les scans sont rapides et peu coûteux, mais ils signalent des signatures plutôt que de raisonner sur votre système.

Le VAPT ajoute les deux choses que les scanners ne peuvent pas faire : des tests manuels qui comprennent votre logique métier, et une exploitation réelle qui prouve l'impact. Les failles à l'origine des véritables compromissions, contrôle d'accès défaillant, contournements d'authentification, exploits enchaînés, sont généralement celles que seul un humain détecte.

Les déclencheurs habituels sont la veille d'un lancement majeur, après des modifications importantes d'un système, et à intervalles réguliers, au moins une fois par an, et plus fréquemment pour les systèmes à haut risque ou réglementés.

La conformité est également un facteur courant : des référentiels tels que SOC 2, ISO 27001 et PCI DSS attendent de fait des tests réguliers, et le DPDP Act indien rattache ses sanctions les plus lourdes à l'absence de mesures de sécurité raisonnables, ce que le VAPT atteste directement.