Pentest automatisé (scan)
- Rapide et peu coûteux : résultats en quelques heures.
- Couverture CVE : détecte les vulnérabilités connues et les configurations faibles.
- Limites : taux de faux positifs élevé (30-50 %), ne teste pas la logique métier, ne chaîne pas les failles.
Pentest manuel
- Expertise humaine : teste la logique métier, les IDOR, les escalades de privilèges.
- Chaînage : combine des failles mineures pour un impact critique.
- Preuves : démontre l'exploitabilité réelle avec moins de 5 % de faux positifs.
- Coût : plus élevé, mais le ROI est supérieur en preuves exploitables.
Quelle approche choisir ?
L'idéal est de combiner les deux : scan automatisé en continu pour la détection de base, pentest manuel périodique pour la couverture métier. Chez Laucked, nos missions combinent outils automatisés et tests manuels pour une couverture complète avec des preuves exploitables.
Pour approfondir : NIST SP 800-115 : ce que l’outillage couvre et ce qui reste manuel.