Structurer un module pentest en 5 jours

Le pentest en formation : un exercice d'équilibre

Concevoir un module de pentest condensé sur cinq jours est un vrai défi pédagogique. Il faut couvrir suffisamment de théorie pour que les étudiants comprennent ce qu'ils font, tout en leur laissant assez de temps pour pratiquer sur des environnements réalistes. Trop de cours magistraux et les étudiants décrochent. Trop de labs sans cadre et ils se dispersent.

Ce guide propose une structure éprouvée, pensée pour des étudiants de niveau intermédiaire en cybersécurité, avec des bases en réseaux et en systèmes. L'objectif : qu'en cinq jours, chaque étudiant soit capable de mener un audit de sécurité simplifié de bout en bout.

Jour 1 : Fondamentaux et cadre légal

Matin -- Contexte et méthodologie

La première demi-journée pose les bases. Avant de toucher un terminal, les étudiants doivent comprendre pourquoi on fait du pentest, pour qui, et dans quel cadre.

Les points essentiels a couvrir :

• La différence entre pentest, audit de sécurité et red team
• Les méthodologies reconnues (OWASP Testing Guide, PTES, OSSTMM)
• Le cadre juridique : articles du Code pénal, notion de périmètre autorisé, lettre de mission
• La déontologie du pentester

Apres-midi -- Prise en main de l'environnement

Les étudiants installent et configurent leur poste de travail : distribution Kali ou Parrot, accès au lab virtualisé, vérification de la connectivité. C'est aussi le moment d'introduire les outils de base : Nmap, Burp Suite, Wireshark.

Un premier exercice encadré -- scanner un réseau lab et identifier les services exposés -- permet de valider que tout le monde est opérationnel.

Jour 2 : Reconnaissance et enumeration

Matin -- Reconnaissance passive et active

La reconnaissance est la phase la plus sous-estimée par les étudiants. Pourtant, c'est elle qui conditionne la réussite de l'audit.

Le cours couvre :

• La reconnaissance passive (OSINT, DNS, whois, Google dorks)
• La reconnaissance active (scan de ports, fingerprinting, enumeration de services)
• La documentation des résultats dans un format structuré

Apres-midi -- Lab de reconnaissance

Un lab dédié met les étudiants face a un réseau simulé comprenant plusieurs machines. Leur mission : cartographier l'ensemble de l'infrastructure, identifier les services, les versions, et commencer a repérer les surfaces d'attaque potentielles.

Le livrable attendu est un rapport de reconnaissance synthétique. Cet exercice développe autant les compétences techniques que la rigueur documentaire, essentielle dans le métier.

Jour 3 : Exploitation

Matin -- Vulnérabilités et techniques d'exploitation

C'est le jour que les étudiants attendent. Mais avant de lancer un exploit, il faut comprendre la logique sous-jacente :

• Classification des vulnérabilités (CVE, CVSS)
• Exploitation web : injections SQL, XSS, CSRF, failles d'authentification
• Exploitation système : services mal configurés, élévation de privilèges
• Utilisation raisonnée de Metasploit

Le formateur doit insister sur un point : un exploit sans compréhension n'est qu'un copier-coller. L'objectif est que l'étudiant sache expliquer chaque étape.

Apres-midi -- Lab d'exploitation guidé

Un environnement vulnérable (type DVWA, Metasploitable ou machines personnalisées) est mis a disposition. Les étudiants travaillent en binôme sur des scénarios progressifs, du plus simple au plus complexe.

Le formateur circule, guide, et organise des micro-debriefs réguliers pour mutualiser les découvertes et corriger les erreurs de raisonnement.

Jour 4 : Post-exploitation et rédaction du rapport

Matin -- Post-exploitation et maintien d'accès

Cette phase est souvent négligée dans les formations courtes, mais elle est indispensable pour comprendre la réalité du terrain :

• Collecte d'informations post-compromission
• Mouvement latéral dans un réseau
• Nettoyage des traces (et pourquoi c'est important dans un cadre professionnel)
• Notions de persistance

Apres-midi -- Rédaction du rapport d'audit

Le rapport est le livrable final du pentester. C'est lui que le client lit. Les étudiants apprennent a rédiger :

• Un résumé exécutif (non technique, destiné a la direction)
• Les vulnérabilités identifiées avec leur criticité
• Les preuves d'exploitation (captures, commandes)
• Les recommandations de remédiation

Ce travail de rédaction est aussi important que la phase technique. Un pentest sans rapport exploitable n'a aucune valeur professionnelle.

Jour 5 : Challenge final et évaluation

Matin -- CTF ou audit simulé

La dernière journée commence par un exercice intégrateur. Deux formats fonctionnent bien :

Option A : CTF (Capture The Flag) Un ensemble de challenges couvrant les compétences vues pendant la semaine. Les étudiants progressent individuellement ou en équipe a travers des épreuves de difficulté croissante.

Option B : Audit simulé Les étudiants recoivent une lettre de mission fictive et doivent auditer un environnement inconnu en temps limité. Ce format est plus proche de la réalité professionnelle.

Apres-midi -- Restitution et évaluation

Chaque équipe présente ses résultats : méthodologie suivie, vulnérabilités trouvées, rapport produit. L'évaluation porte sur :

• La rigueur de la démarche (pas seulement le nombre de failles trouvées)
• La qualité du rapport
• La pertinence des recommandations
• La posture professionnelle lors de la restitution

Un debrief collectif clôture le module : ce qui a bien fonctionné, les difficultés rencontrées, les pistes d'approfondissement vers des certifications comme l'OSCP ou le CEH.

Conseils pratiques pour le formateur

Préparer le lab en amont. Rien ne casse plus la dynamique qu'un environnement technique qui ne fonctionne pas le jour J. Testez chaque machine, chaque scénario, la veille.

Adapter le rythme. Certains groupes avancent vite, d'autres ont besoin de plus de temps sur les fondamentaux. Prévoyez des exercices bonus pour les plus rapides.

Documenter les erreurs fréquentes. Tenez un journal des difficultés rencontrées par vos étudiants d'une session a l'autre. Cela vous permettra d'améliorer continuellement votre module.

Varier les formats. Alternez cours magistral, démonstrations en direct, travaux en binôme et restitutions orales. La pédagogie active est la clé de l'engagement.

Construisez votre module avec un expert

Structurer un module de pentest efficace demande a la fois une expertise technique solide et une vraie compétence pédagogique. Si vous cherchez un intervenant capable de concevoir et animer ce type de formation, découvrez les profils de nos teachers spécialisés en cybersécurité offensive sur Cyber Teachers.