Cyber Shelf

// Comparaison

Penetration Testing vs Pentesting Azure Applications : lequel lire ?

Deux livres de cybersécurité sur Pentesting, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Débutant
4/52014
Penetration Testing

A Hands-On Introduction to Hacking

Georgia Weidman

L'introduction lab-driven de Georgia Weidman au pentesting, faisant traverser au lecteur le montage d'un environnement cible, le scan, l'exploitation, la post-exploitation et le reporting.

Intermédiaire
3/52018
Pentesting Azure Applications

The Definitive Guide to Testing and Securing Deployments

Matt Burrough

Matt Burrough sur le comportement attaquant contre les tenants Azure : identité, stockage, VMs, manipulation de matériel de clés et les chemins de recon qui marchent contre de vraies souscriptions.

À lire si

Débutants qui veulent une intro hands-on unique qui les fait traverser un workflow pentest complet : montage de lab, recon, exploitation, post-exploitation, reporting. Encore le point d'entrée le plus amical en imprimé.
Pentesters cloud dont le scope inclut les souscriptions Azure. Burrough couvre l'identité (Entra ID), l'abus de comptes de stockage, la recon niveau VM, la manipulation de matériel de clés et les patterns d'accès basés rôle qui pilotent la vraie post-exploitation Azure.

À éviter si

Lecteurs qui travaillent déjà en sécurité offensive ou veulent les spécificités tooling de la décennie actuelle. L'édition est datée face au tradecraft Active Directory moderne et aux réalités EDR ; le workflow est intemporel, les outils non.
Lecteurs focalisés AWS ou GCP, ou quiconque voulant le tradecraft Azure actuel. Le livre précède le rebrand actuel AAD-vers-Entra-ID et plusieurs mises à jour de services majeurs ; à traiter comme fondamental, pas actuel.

Points clés

  • Un pentest complet est un petit nombre de mouvements répétés (recon, trouver foothold, escalader, pivoter, documenter) ; Weidman enseigne le rythme avant le tooling.
  • Le montage de lab est la moitié de l'apprentissage ; faire tourner le lab Metasploitable-et-VM-Windows du livre est ce qui construit la mémoire musculaire que l'OSCP suppose plus tard.
  • Le reporting compte autant que l'exploitation ; le livre est un des rares textes d'intro qui prend le livrable au sérieux.
  • Les patterns d'attaque Azure se centrent sur l'identité et les rôles, pas sur les vulnérabilités niveau réseau ; le cadrage du livre reflète cela.
  • Les mauvaises configurations de comptes de stockage restent un des findings Azure les plus communs ; la couverture du livre sur l'abus de clés d'accès est encore pertinente.
  • Le reporting pentest cloud diffère significativement du reporting pentest réseau ; les templates de livrables du livre sont des points de départ utiles.

Comment ils se comparent

Nous notons Penetration Testing plus haut (4/5 contre 3/5 pour Pentesting Azure Applications). Pour la plupart des lecteurs, Penetration Testing est le choix principal et Pentesting Azure Applications un complément utile.

Penetration Testing vise le niveau débutant. Pentesting Azure Applications vise le niveau intermédiaire. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.

Penetration Testing et Pentesting Azure Applications couvrent tous les deux Pentesting, Offensive : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Penetration Testing

→ Alternatives à Penetration Testing→ Que lire après Penetration Testing

Pentesting Azure Applications

→ Alternatives à Pentesting Azure Applications→ Que lire après Pentesting Azure Applications

Thématiques liées

PentestingOffensive