Pentest externe
Le pentest externe cible la surface d'attaque visible depuis Internet : applications web, API, portails clients, emails, DNS. Il répond à la question : que peut voir et exploiter un attaquant qui ne connaît rien de votre infrastructure ?
Pentest interne
Le pentest interne part d'un accès réseau (simulant un poste compromis ou un employé malveillant) et teste : escalade de privilèges, mouvement latéral, accès aux données sensibles, segmentation réseau et contrôles internes.
Lequel choisir ?
- PME avec des actifs web exposés : commencer par un pentest externe.
- PME avec des enjeux de contrôle d'accès internes : pentest interne en complément.
- Exigence client ou assureur : souvent le pentest externe suffit pour les preuves demandées.
- Chez Laucked, nous recommandons de commencer par le diagnostic de surface gratuit pour cadrer le périmètre adapté.
Pour approfondir : MITRE ATT&CK : techniques de déplacement latéral après obtention d’un accès interne.