pentest-checklist
Planifier des Tests de Pénétration Professionnels
Cette compétence fournit un cadre complet pour planifier et exécuter des tests de pénétration, en assurant une autorisation appropriée, un périmètre défini et un suivi des corrections pour des évaluations de sécurité efficaces.
Télécharger le ZIP du skill
Importer dans Claude
Allez dans Paramètres → Capacités → Skills → Importer un skill
Activez et commencez à utiliser
Tester
Utilisation de "pentest-checklist". Quelles sont les phases clés d'un test de pénétration ?
Résultat attendu:
Un pentest suit typiquement cinq phases : 1) Définition du Périmètre (objectifs, menaces, limites), 2) Préparation de l'Environnement (configuration de l'environnement de test, scanning de base), 3) Sélection de l'Expertise (sélection du prestataire, définition de la méthodologie), 4) Monitoring (monitoring de sécurité, configuration des logs), 5) Corrections (analyse des constatations, vérification des correctifs).
Utilisation de "pentest-checklist". Que doit inclure un document de périmètre de pentest ?
Résultat attendu:
Un document de périmètre de pentest doit inclure : les systèmes cibles (IPs, domaines, applications), les éléments hors périmètre, les techniques de test autorisées, le calendrier et la planification, les identifiants d'accès fournis, les contacts d'urgence, la confirmation d'autorisation légale et les exigences de conformité.
Utilisation de "pentest-checklist". Comment évaluer les prestataires de tests de pénétration ?
Résultat attendu:
Évaluez les prestataires en : vérifiant les certifications (OSCP, GPEN, CEH, CREST), examinant des exemples de rapports pour la qualité et le détail, vérifiant l'expérience avec des organisations similaires, confirmant l'alignement méthodologique (OWASP, PTES), évaluant les processus de communication et vérifiant les références de clients similaires.
Audit de sécurité
SûrThis skill is a documentation/guide for planning legitimate penetration tests. The static analyzer flagged example commands (nmap, nikto, tcpdump), tool references, and cloud provider documentation links. All flagged items are legitimate security testing educational content shown in markdown code blocks - they are not executable code. The skill emphasizes authorization, legal compliance, and proper scoping. All 31 static findings are FALSE POSITIVES.
Problèmes à risque élevé (4)
Score de qualité
Ce que vous pouvez construire
Première Évaluation de Sécurité
Un responsable de sécurité planifiant la première évaluation externe de son organisation utilise cette compétence pour comprendre le périmètre, le budget et les critères de sélection des prestataires.
Planification Annuelle de Pentest
Un directeur IT planifie des tests de pénétration récurrents et utilise la compétence pour assurer une autorisation appropriée, la préparation de l'environnement et le suivi des corrections.
Coordination d'Exercice Red Team
Un lead red team utilise la compétence pour coordonner des exercices complets de simulation d'adversaire, incluant la définition du périmètre, les règles d'engagement et le nettoyage post-exercice.
Essayez ces prompts
Aidez-moi à planifier un test de pénétration pour l'application web de mon entreprise. Quelles sont les phases clés que je devrais suivre ?
Que dois-je inclure dans le document de périmètre pour un pentest d'application web ? Quels systèmes sont typiquement dans le périmètre et hors périmètre ?
Quelle est la différence entre les tests de pénétration black box, gray box et white box ? Lequel devrais-je choisir pour mon évaluation de réseau externe ?
Après avoir reçu les résultats du pentest, comment devrais-je prioriser et suivre les corrections des constatations ?
Bonnes pratiques
- Toujours obtenir une autorisation légale écrite avant les tests
- Définir des limites de périmètre claires et documenter les exclusions
- Planifier les tests pendant les périodes de faible trafic
- Assurer un logging et un monitoring complets pendant les tests
- Planifier du temps de correction et des tests de vérification après les résultats
Éviter
- Tester en production sans mesures de protection appropriées
- Sauter la phase de documentation d'autorisation
- Permettre un périmètre de test illimité sans limites
- Ignorer les constatations qui semblent de faible sévérité
- Ne pas planifier de tests de vérification de suivi