54:45This recording is not available yet.
Formation : Mettez-vous dans la peau d’un Pentester
Download resourcesCategories
About this session
Simon Nolet, a pentester for ten years and a volunteer building challenges for Hackfest, opens this workshop by arguing that security problems keep recurring because teams extinguish fires without addressing the root cause. He stresses the importance of properly scoping a pentest engagement: breaking down a locked door with a tank only proves the tank works, not that the house is poorly protected; you must define what the system is actually supposed to resist, accepting that no system is one hundred percent secure. He spends much of the session on divergent thinking, illustrated by a brainstorming exercise on the uses of a brick and the World War II bomber survivorship-bias story, to show how to question default assumptions before attacking a system. He outlines the standard pentest stages in cyber-kill-chain style (reconnaissance, chaining vulnerabilities, privilege escalation, exfiltration, reporting) and recommends white-box testing to maximize value delivered to the client. The second half shifts to hands-on practice on a capture-the-flag platform, gosec.active.education, with Linux privilege-escalation and network-pivoting challenges solved at their own pace, alone or in teams.
Mettez-vous dans la peau d’un testeur d’intrusion et apprenez à penser comme un attaquant. Ce workshop vous présente une multitude d'exemples techniques issus de mandats réels et vous permet d'avancer à votre rythme avec l'aide d'un professionnel du domaine. Le workshop inclut plusieurs dizaines de défis pratiques.
Key takeaways
- When commissioning a pentest, define what threat level the system should realistically resist; a test disproportionate to the real threat (a 'tank' against a house) does not strengthen security.
- Give pentesters broad scope (white-box access where possible) rather than a narrow, locked-down target; more visibility produces more useful, actionable findings.
- Practice divergent thinking deliberately before an assessment: question default assumptions about how a system is 'supposed' to be used or attacked, the way the brick exercise reframes an everyday object.
- Watch for survivorship bias in security data: what you can observe (successful defenses, returned data points) may not represent the most critical failure points, as in the WWII bomber-armor story.
- Treat security as an ongoing process, not a one-time purchase; recurring incidents usually signal an unaddressed root cause rather than bad luck.
Speakers
Simon Nolet
Simon est un expert en cybersécurité avec 10 ans d'expérience, se spécialisant depuis 9 ans dans la sécurité offensive. Il se concentre sur les chaines de compromission à hautes impacte. Il a réalisé plus de 250 tests d'intrusion. Simon est… Read moreRead less
Simon est un expert en cybersécurité avec 10 ans d'expérience, se spécialisant depuis 9 ans dans la sécurité offensive. Il se concentre sur les chaines de compromission à hautes impacte. Il a réalisé plus de 250 tests d'intrusion. Simon est également un membre actif de la communauté de la cybersécurité, dévoué à partager ses connaissances en étant volontaire pour des événements tels que le Hackfest CTF et en formant des personnes pendant plus de 5 ans dans le cours Securité 103. Il valorise l'honnêteté, favorisant la transparence et l'intégrité dans son travail. Son expertise couvre les réseaux, l'infrastructure, le pentest d’Active Directory, mais il s'intéresse aussi au red teaming, à l'évasion de contrôle d’accès et à l’utilisation efficace des ordinateurs. Simon cherche constamment à améliorer la sécurité des entreprises en rédigeant des rapports précis et en proposant des recommandations opérationnelles afin d’augmenter la résilience d’une entreprise face à un adversaire. Il est d’avis qu’on règle souvent les causes racines de problèmes de sécurité par la connaissance et la formation. Son objectif est d'éduquer et de renforcer les mesures de sécurité pour protéger les entreprises et les individus dans leurs environnements numériques. Un professionnel avec 10 ans d'expériences Expérimenté dans les tests des infrastructures réseau et des systèmes internes dans de grands environnements d'entreprise, spécialisé dans l'obtention d'une vision globale et dans l'identification des causes profondes concrétiser des scenarios à impact élever.
