Pentest vs EASM : deux approches complémentaires, pas interchangeables
Le test de pénétration (pentest) est un pilier de la sécurité depuis 30 ans. L'EASM est une discipline plus récente, née du constat que le pentest annuel ne suffisait plus face à des surfaces d'attaque en constante évolution. Ces deux approches ne sont pas concurrentes : elles répondent à des questions différentes et se renforcent mutuellement.
Comparatif fondamental
| Critère | Pentest | EASM |
|---|---|---|
| Fréquence | Ponctuel (1-2x/an) | Continu (24h/24) |
| Périmètre | Défini à l'avance | Dynamique, découverte automatique |
| Actifs inconnus | Non (hors scope) | Oui (spécialité) |
| Profondeur | Maximale (exploitation réelle) | Moderate (détection, pas exploitation) |
| Nouvelles vulnérabilités | Détectées seulement au prochain pentest | Détectées en temps réel |
| Rapport | Document détaillé post-mission | Dashboard continu + alertes |
| Coût | Élevé (10k-100k€) | Abonnement mensuel |
| Ressources | Expertise externe nécessaire | Semi-automatisé |
| Preuve de conformité | Oui (rapport formel) | Oui (audit trail continu) |
Les limites du pentest seul
1. La fenêtre d'exposition (le problème #1)
Un pentest couvre un instant T. Entre deux pentests (10-12 mois), votre surface d'attaque évolue. Nouveaux sous-domaines, nouvelles CVE publiées, nouveaux services déployés — rien de tout cela n'est detecté.
Exemple réel : Log4Shell a été publié en décembre 2021. Les organisations qui avaient fait leur pentest en septembre 2021 étaient vulnérables pendant 6-9 mois sans le savoir.
2. Le scope limité
Un pentest est réalisé sur un périmètre défini à l'avance. Il ne couvre pas les actifs inconnus. Or, les actifs les plus risqués sont souvent ceux hors scope — précisément parce qu'ils sont inconnus.
3. Le coût de la fréquence
Un pentest mensuel coûte entre 5 000€ et 30 000€ selon le périmètre. C'est inenvisageable pour la plupart des organisations.
Les limites de l'EASM seul
1. Pas d'exploitation réelle
L'EASM détecte les vulnérabilités mais ne les exploite pas. Il ne peut pas confirmer qu'une vulnérabilité est réellement exploitable dans votre contexte spécifique.
2. Pas de test de la défense en profondeur
L'EASM ne teste pas votre EDR, votre SIEM, votre SOC. Il ne vérifie pas si vos équipes de sécurité détectent réellement une attaque en cours.
3. Pas de scénarios complexes
L'EASM ne simule pas de campagnes de spear-phishing, d'attaques de type APT, ou de scénarios d'attaque multi-vecteurs.
Le modèle optimal : EASM + Pentest
[EASM Continu] ──> Découverte des actifs + Détection vulnérabilités
| |
v v
[Alertes P1] [Scope Pentest Enrichi]
| |
v v
[Remédiation] [Pentest Ciblé sur]
rapide [actifs prioritaires]
L'EASM enrichit le pentest :
- Fournit un inventaire complet des actifs (y compris shadow IT)
- Identifie les cibles prioritaires pour le test
- Détecte les vulnérabilités à tester en priorité
Le pentest complète l'EASM :
- Confirme l'exploitabilité réelle des vulnérabilités détectées
- Teste la défense en profondeur
- Simule des scénarios d'attaque réalistes
- Fournit le rapport formel requis par les régulateurs
Budget recommandé
Pour une ETI (200-500 employés) :
- EASM : 1 500-5 000€/mois (surveillance continue)
- Pentest : 15 000-40 000€/an (1-2 fois par an, scope élargi grâce à l'EASM)
- Total : 33 000-100 000€/an
- Comparaison : coût d'une violation de données moyenne : 4,5M€