- Pentester Ethical Hacker : securite offensive

Qu'est-ce qu'un pentester / ethical hacker ?

Le pentester, ou testeur d'intrusion, est un expert en securite offensive dont le metier consiste a attaquer un systeme d'information de maniere controlee et autorisee, afin d'en reveler les faiblesses avant qu'un veritable attaquant ne les exploite. On parle aussi d'ethical hacker (hacker ethique), car ce professionnel utilise les memes techniques et le meme etat d'esprit qu'un cybercriminel, mais avec un cadre legal strict et un objectif purement defensif : proteger l'organisation.

Le paradoxe du metier est la : pour bien defendre, il faut savoir attaquer. Le pentester se met dans la peau de l'adversaire, cartographie la surface d'attaque, cherche des vulnerabilites, tente de les exploiter de facon controlee, puis documente tout dans un rapport actionnable. Ce rapport est le veritable livrable : il transforme une simulation d'attaque en plan de remediation concret pour les equipes techniques et la direction.

La frontiere essentielle entre un pentester et un cybercriminel n'est pas technique, elle est juridique et ethique. Le pentester agit toujours dans un perimetre defini, avec une autorisation ecrite et signee, dans le respect du Code penal et du contrat. Sortir de ce cadre fait basculer l'activite dans l'illegalite. L'ethique et le respect du perimetre sont donc le coeur du metier, autant que la technique.

On distingue plusieurs profils : le pentester web, qui teste les applications et API ; le pentester infrastructure / interne, qui s'attaque aux reseaux et a l'Active Directory ; le pentester cloud, specialise sur AWS, Azure ou GCP ; le pentester mobile ; et l'operateur Red Team, qui mene des simulations d'attaque completes et furtives sur la duree. Tous partagent la meme rigueur ethique et le meme gout de la comprehension profonde des systemes.

Missions et responsabilites : les phases d'un pentest

Une mission de test d'intrusion suit une methodologie structuree, souvent inspiree de standards comme le PTES (Penetration Testing Execution Standard) ou le guide OWASP. Le pentester avance par phases successives, chacune nourrissant la suivante. Voici le deroule type d'une mission.

Phase 0 : cadrage et autorisation

Avant toute action, le pentester definit le perimetre avec le client : quels systemes sont concernes, quelles techniques sont autorisees, quelles plages horaires, quels contacts d'urgence. Une autorisation ecrite (rules of engagement) est signee. Sans ce document, aucune action n'est legale. C'est l'etape la plus importante, jamais une formalite.

Phase 1 : reconnaissance

Le pentester collecte un maximum d'informations sur la cible : noms de domaine, sous-domaines, adresses IP, technologies utilisees, employes exposes (OSINT). On distingue la reconnaissance passive (sans contact direct avec la cible, via des sources publiques) de la reconnaissance active (interaction directe, comme un scan). L'objectif est de dessiner la surface d'attaque.

Phase 2 : scan et enumeration

Le pentester cartographie les services exposes : ports ouverts, versions de logiciels, services accessibles. C'est ici qu'interviennent des outils comme Nmap. L'enumeration affine cette cartographie pour reperer les points d'entree potentiels.

# Reconnaissance reseau de base avec Nmap (sur perimetre AUTORISE uniquement)
# Ces commandes sont inoffensives : elles observent, elles n'exploitent rien.

# Decouverte des hotes actifs sur un sous-reseau autorise
nmap -sn 10.10.10.0/24             # ping scan, liste les machines vivantes

# Detection des ports ouverts et des versions de services
nmap -sV cible.exemple.test        # -sV identifie le service et sa version

# Scan plus complet avec detection d'OS (necessite des privileges)
nmap -A cible.exemple.test         # -A = OS + version + scripts par defaut

# Le resultat sert a comprendre la surface exposee,
# pas a lancer une attaque : on observe, on documente, on rapporte.

Phase 3 : analyse des vulnerabilites

A partir des services identifies, le pentester recherche les faiblesses : versions obsoletes, mauvaises configurations, failles applicatives. Il croise ses observations avec des bases de connaissances (CVE) et son expertise. Cette phase distingue les vulnerabilites theoriques des failles reellement exploitables dans le contexte.

Phase 4 : exploitation (controlee)

Le pentester verifie, de maniere controlee et limitee, qu'une vulnerabilite est reellement exploitable, afin de prouver l'impact reel. L'objectif n'est jamais de causer un dommage mais de demontrer le risque. Toute action reste dans le perimetre autorise et est tracee pour le rapport.

Phase 5 : post-exploitation et laterale

Une fois un acces obtenu, le pentester evalue jusqu'ou un attaquant pourrait aller : quelles donnees seraient accessibles, peut-il se deplacer lateralement vers d'autres machines, escalader ses privileges ? C'est ici qu'on mesure l'impact metier reel d'une compromission, element clef du rapport.

Phase 6 : reporting et restitution

Le rapport est le veritable produit du pentester. Il decrit chaque vulnerabilite, son niveau de criticite, la preuve d'exploitation, l'impact metier et surtout les recommandations de remediation. Une restitution orale aupres des equipes techniques et de la direction accompagne souvent le document. Un bon rapport est clair, hierarchise et actionnable.

Competences techniques requises

Le pentester possede une culture technique large : il doit comprendre les systemes qu'il teste mieux que ceux qui les ont construits. Cela demande une maitrise solide des reseaux, du web, des systemes d'exploitation et du scripting.

Reseaux et protocoles

• Modele TCP/IP, routage, DNS, HTTP/HTTPS, TLS
• Comprehension fine des ports, services et protocoles courants
• Notions de pare-feu, VPN, segmentation reseau
• Capture et analyse de trafic (Wireshark, tcpdump)

Securite web et OWASP Top 10

Le web etant la cible la plus courante, le pentester maitrise les grandes familles de vulnerabilites recensees par l'OWASP Top 10. Cette connaissance conceptuelle structure l'analyse de toute application.

Systemes : Linux, Windows et Active Directory

Le pentester est a l'aise sous Linux comme sous Windows. La maitrise de l'Active Directory est devenue incontournable en test d'intrusion interne : comprendre les domaines, les relations d'approbation, les chemins de privileges et les mauvaises configurations courantes est une competence tres recherchee et fortement valorisee sur le marche.

Scripting et automatisation

Savoir scripter permet d'automatiser la reconnaissance, d'adapter un outil ou de traiter des resultats. Python et Bash sont les langages de predilection. Le script ci-dessous illustre une simple boucle d'organisation de la reconnaissance, sans aucun caractere offensif.

#!/usr/bin/env python3
# Petit script d'organisation de reconnaissance (pedagogique, inoffensif)
# Il ne fait qu'orchestrer des observations sur un perimetre AUTORISE.

import subprocess

# Liste de cibles explicitement autorisees par le client
cibles_autorisees = ["host1.exemple.test", "host2.exemple.test"]

def scanner_versions(cible):
    """Lance un scan de versions Nmap sur une cible autorisee."""
    print(f"[*] Observation des services de {cible}...")
    # -sV se contente d'identifier les services : aucune exploitation
    resultat = subprocess.run(
        ["nmap", "-sV", cible],
        capture_output=True, text=True
    )
    return resultat.stdout

if __name__ == "__main__":
    for cible in cibles_autorisees:
        rapport = scanner_versions(cible)
        # On consigne les observations pour le rapport final
        print(rapport)

Soft skills et qualites humaines

Le pentester n'est pas qu'un technicien : ses qualites humaines determinent en grande partie la valeur de ses missions. Curiosite, ethique et communication sont au coeur du metier.

Curiosite et tenacite

Le pentester est anime par l'envie de comprendre comment les choses fonctionnent, et surtout comment elles peuvent casser. La curiosite le pousse a creuser, a tester des hypotheses, a ne pas se contenter de la surface. La tenacite lui permet de persister la ou une faille se cache, sans se decourager apres des heures d'impasses.

Ethique et integrite irreprochables

C'est la qualite la plus importante du metier. Le pentester manipule des acces et des donnees sensibles : la confiance du client repose entierement sur son integrite. Respecter scrupuleusement le perimetre, ne jamais exploiter une information a son profit, signaler immediatement toute decouverte critique : l'ethique n'est pas negociable.

Rigueur et qualites de rapport

• Documenter chaque etape pour garantir la reproductibilite
• Rediger des rapports clairs, hierarchises et actionnables
• Adapter le discours technique a une audience non technique
• Prioriser les vulnerabilites selon l'impact metier reel
• Rester dans le perimetre autorise en toute circonstance

Communication et pedagogie

Trouver une faille ne sert a rien si l'on ne sait pas l'expliquer. Le pentester doit vulgariser un risque technique pour un dirigeant, convaincre une equipe de corriger, et restituer ses resultats avec diplomatie. Un bon pentester est aussi un bon pedagogue : il transforme la peur en plan d'action.

Veille permanente

La securite evolue en continu : nouvelles vulnerabilites, nouvelles techniques, nouveaux outils defensifs. Le pentester consacre du temps a la veille, lit des write-ups, suit les publications de la communaute et pratique sur des plateformes d'entrainement. Cette mise a jour constante est une condition de survie professionnelle.

Salaires et fourchettes 2025-2026

La cybersecurite offensive est un domaine en tension : la demande de pentesters depasse largement l'offre de profils qualifies. Les salaires sont donc attractifs, surtout pour les profils certifies et specialises. Voici les fourchettes observees en France.

Variations par specialite

Evolution de carriere et certifications

Le pentester dispose de trajectoires riches, la securite offensive ouvrant sur des roles d'expertise, de management ou de specialisation pointue. Les certifications jouent un role structurant dans cette progression.

Trajectoires d'evolution

• Pentester → Senior / Lead pentester : expertise technique et pilotage de missions complexes
• Pentester → Operateur Red Team : simulations d'attaque furtives et avancees
• Pentester → Consultant securite / Architecte : conseil et conception securisee
• Pentester → Specialiste cloud / Active Directory : expertise sectorielle pointue
• Pentester → Responsable d'equipe offensive / Manager : encadrement et avant-vente
• Pentester → Chercheur en securite : recherche de vulnerabilites, publications

Certifications de reference

Differences avec les roles voisins

Le pentester evolue dans un ecosysteme cyber peuple de roles proches mais distincts. Comprendre ces differences clarifie le positionnement du metier, notamment la fameuse opposition Red Team / Blue Team.

Comment devenir pentester ?

Devenir pentester demande des bases solides en informatique, beaucoup de pratique encadree et une demarche d'apprentissage rigoureuse. Le metier se construit autant par la formation que par l'entrainement sur des environnements legaux concus pour cela.

Parcours recommande

• Acquerir des bases solides en reseaux, systemes et programmation
• Apprendre Linux, Windows et les fondamentaux de l'Active Directory
• Etudier l'OWASP Top 10 et la securite des applications web
• S'entrainer sur des plateformes legales : HackTheBox, TryHackMe
• Rediger des write-ups pour structurer ses apprentissages
• Viser une certification reconnue (OSCP en priorite)
• Construire un portfolio public et un reseau dans la communaute

L'importance des labs legaux

On n'apprend jamais le pentest en attaquant des systemes reels sans autorisation : ce serait illegal. On s'entraine sur des plateformes concues pour cela, comme HackTheBox ou TryHackMe, qui fournissent des machines volontairement vulnerables, dans un cadre legal et pedagogique. C'est la voie royale pour progresser sans risque juridique.

Plan d'apprentissage realiste

Compter six mois a un an de pratique reguliere pour atteindre un premier niveau employable. Voici un plan structure et progressif.

# Plan d'apprentissage pentest sur 6 mois
# Estimation : 10 a 15 heures par semaine, 100 % sur labs legaux

# Mois 1-2 : Fondamentaux
Objectif : maitriser reseaux, Linux et bases du web
Ressources :
  - Cours reseau (TCP/IP, DNS, HTTP) et ligne de commande Linux
  - Parcours debutant TryHackMe (chemins "Pre Security" / "Intro")
  - Etudier l'OWASP Top 10 (concepts, pas d'exploits reels)

# Mois 3-4 : Securite web et reconnaissance
Objectif : analyser une application et cartographier une cible
Ressources :
  - Reconnaissance avec Nmap (scans d'observation autorises)
  - Burp Suite (proxy d'analyse de requetes web)
  - Machines "facile" sur HackTheBox, avec write-up systematique

# Mois 5-6 : Interne, Active Directory et preparation OSCP
Objectif : monter en complexite et se preparer a la certification
Ressources :
  - Fondamentaux Active Directory offensif (labs dedies)
  - Methodologie complete : recon, scan, analyse, reporting
  - Entrainement type examen, redaction de rapports professionnels

Outils et environnement de travail

Le pentester s'appuie sur un ecosysteme d'outils riche, souvent open source, regroupe dans des distributions specialisees. Important : un outil n'a de valeur qu'employe avec methode et sur un perimetre autorise.

Stack pentester de reference

# Categorie 1 : Distribution et environnement
Kali Linux               # Distribution dediee au pentest, outils preinstalles
Machine virtuelle        # Isolation et reproductibilite des tests
Prise de notes           # Documentation rigoureuse de chaque etape

# Categorie 2 : Reconnaissance et scan
Nmap                     # Cartographie des hotes et services (observation)
Wireshark                # Analyse de trafic reseau
Outils OSINT             # Collecte d'informations publiques

# Categorie 3 : Analyse applicative web
Burp Suite               # Proxy d'analyse et de test des requetes web
Outils d'enumeration web # Decouverte de contenus et de parametres

# Categorie 4 : Frameworks et exploitation controlee
Metasploit Framework     # Framework de validation de vulnerabilites
Scripts Python / Bash    # Automatisation de la reconnaissance

# Toujours : autorisation ecrite + respect strict du perimetre.

Des commandes d'observation, pas d'attaque

Au quotidien, une grande partie du travail consiste a observer et a comprendre avant d'agir. Les commandes ci-dessous sont des exemples de reconnaissance basique et inoffensive, a n'executer que sur un perimetre explicitement autorise.

# Commandes d'observation du quotidien (perimetre AUTORISE uniquement)

nmap -sV cible.exemple.test       # identifie les services et versions
nmap -p 80,443 cible.exemple.test # observe deux ports web precis
whois exemple.test                # informations publiques sur un domaine
dig exemple.test                  # resolution DNS (information publique)
curl -I https://exemple.test      # lit les en-tetes HTTP de reponse

# Ces commandes ne font qu'observer la cible.
# Aucune n'exploite de faille : elles preparent l'analyse et le rapport.

Environnement de travail

Le pentester travaille en cabinet de conseil specialise (ESN securite), au sein d'une equipe securite interne, ou en freelance. Les missions sont variees : audits ponctuels, tests recurrents, campagnes Red Team. Le remote est courant pour les tests externes. La culture de la communaute et de la veille y est tres forte, avec un fort esprit d'entraide via les write-ups et les plateformes d'entrainement.

Tendances et futur du metier

La securite offensive est un metier d'avenir, porte par la numerisation croissante et la sophistication des menaces. Plusieurs tendances de fond redessinent le quotidien du pentester.

Le pentest cloud, nouvelle frontiere

Avec la migration massive vers AWS, Azure et GCP, la surface d'attaque s'est deplacee vers le cloud. Tester des configurations IAM, des buckets de stockage, des fonctions serverless ou des conteneurs demande une expertise specifique, encore rare. Le pentester cloud est l'un des profils les plus recherches du marche, et cette tendance s'accentue.

L'IA, a la fois arme et cible

L'intelligence artificielle transforme le metier de deux facons. Cote offensif comme defensif, elle accelere certaines taches d'analyse et de tri. Mais l'IA devient aussi une cible : les applications integrant des modeles de langage introduisent de nouvelles classes de vulnerabilites (manipulation des entrees, fuite de donnees), que le pentester doit apprendre a evaluer.

Du pentest ponctuel au Red Team continu

Le test d'intrusion annuel cede du terrain a des approches plus continues : tests reguliers, programmes de bug bounty, et simulations Red Team sur la duree. L'objectif est de coller au rythme reel des menaces. Le pentester evolue vers un role plus integre au cycle de vie de la securite de l'organisation.

# Pseudo-methodologie d'une mission (cadre conceptuel, pas un exploit)

DEBUT mission
  VERIFIER autorisation_ecrite ET perimetre_signe   # condition absolue
  SI autorisation absente ALORS arreter

  reconnaissance:      collecter informations publiques (OSINT)
  scan:                observer services exposes (ex : nmap -sV)
  analyse:             croiser services et vulnerabilites connues
  validation:          confirmer l'impact de facon CONTROLEE
  post_analyse:        evaluer la portee, sans causer de dommage
  reporting:           rediger findings + criticite + remediation

  RESTITUER rapport AU client
FIN mission
# Le perimetre autorise borne chaque etape, du debut a la fin.

La Purple Team et la collaboration

La logique d'opposition Red contre Blue laisse place a une collaboration accrue via la Purple Team : offensif et defensif travaillent ensemble pour ameliorer en temps reel la detection et la reponse. Le pentester de demain est aussi un facilitateur, capable de partager ses techniques pour renforcer durablement la posture de securite.

Conclusion et ressources

Le pentester, ou ethical hacker, est un professionnel de la securite defensive qui emploie des methodes offensives pour reveler les failles avant les attaquants. C'est un metier exigeant qui combine une technique pointue, une methodologie rigoureuse et une ethique sans faille. Sa valeur ne se mesure pas a la prouesse d'une intrusion, mais a la qualite du rapport qui aide l'organisation a se proteger durablement.

C'est aussi un choix de carriere solide et porteur : la cybersecurite est en tension, et les profils offensifs qualifies sont rares. La courbe d'apprentissage est exigeante mais accessible a qui s'entraine avec methode sur des plateformes legales. Pour celles et ceux qui aiment comprendre les systemes en profondeur et travailler dans un cadre ethique strict, le pentest offre un metier passionnant et recherche.

Ressources pour aller plus loin

• OWASP — la reference des risques applicatifs web et des bonnes pratiques
• HackTheBox — plateforme de labs offensifs legaux et progressifs
• TryHackMe — parcours guides ideals pour debuter dans un cadre legal
• PTES — standard d'execution d'un test d'intrusion (methodologie)
• ANSSI — recommandations et cadre de la securite en France
• Offensive Security — certifications OSCP, OSWE et ressources associees