Départ · Dakar
Arrivée
W
MD
I
ÉA
I
TK
C
IA
O
ER
D
R
E
SÀ l’heure
Il attaque le système avec l’accord de son propriétaire, pour que la vraie attaque échoue.
Le consultant en sécurité offensive cherche à entrer là où il ne devrait pas : applications web et mobiles, API, réseau interne, cloud. Il travaille dans un cadre écrit, avec une autorisation et un périmètre précis, puis rend un rapport qui classe chaque faille par gravité et explique comment la corriger.
Là où l’expert cybersécurité organise la défense et la gouvernance, lui la met à l’épreuve. Il vérifie aussi ce qui est censé protéger : règles du pare-feu applicatif (WAF), sondes de détection et de prévention d’intrusion (IDS/IPS), cloisonnement du réseau, droits d’accès, pour voir si le dispositif tient face à un attaquant réel.
Il accompagne ensuite la correction : revue de configuration des serveurs et du cloud, recommandations de durcissement classées par priorité, puis contre-test une fois les correctifs en place. Pour une plateforme de paiement comme pour un site de commerce, il arrive avant l’ouverture au public, ou avant un audit.
Attaquer une application web ou mobile comme le ferait un fraudeur : par exemple, tenter de consulter le compte d’un autre client en modifiant un identifiant dans une requête, ou de contourner la vérification du code reçu par SMS.
Partir d’un poste connecté au réseau de l’entreprise et mesurer jusqu’où l’on peut aller : par exemple, obtenir les droits d’administrateur du domaine Active Directory depuis un simple compte d’accueil, et documenter chaque étape du chemin.
Comparer serveurs, cloud et équipements aux référentiels de durcissement : par exemple, un compte AWS passé au crible de Prowler et des recommandations CIS, avec les écarts classés par niveau de risque.
Vérifier que WAF, IDS/IPS et journaux voient réellement l’attaque : par exemple, rejouer des injections connues contre ModSecurity ou Cloudflare WAF, puis ajuster les règles qui laissent passer, sans bloquer les clients légitimes.
Enchaîner hameçonnage, intrusion et élévation de droits comme une attaque réelle, sans prévenir les équipes de défense : par exemple, un courriel piégé envoyé à la comptabilité, un accès maintenu plusieurs jours, puis la mesure du temps mis par la supervision pour le détecter.
Livrer un rapport lisible par la direction et exploitable par les développeurs : par exemple, une note CVSS par faille, une preuve reproductible, un correctif proposé, puis un nouveau passage pour confirmer que tout est fermé.
De la base vers le haut : ce qu'il manie chaque jour.
Langages
Outils d’intrusion
Mobile et API
Cloud
Défenses mises à l’épreuve
Référentiels
Il insiste là où tout semble fermé, parce que la faille se cache souvent derrière le détail que tout le monde a jugé sans importance.
Il détient les clés et les preuves ; un seul écart, et plus personne ne lui confiera un périmètre.
Un test hors périmètre ou sans autorisation écrite est une intrusion, pas une mission.
Une faille mal expliquée reste ouverte ; il écrit pour que le développeur corrige et que le dirigeant décide.
0 à 2 ans
Il mène des tests cadrés sur des applications web avec un consultant confirmé, exploite les outils d’analyse, écarte les faux positifs et rédige les fiches de vulnérabilité.
3 à 5 ans
Il conduit des tests d’intrusion complets (web, mobile, réseau, cloud), définit le périmètre avec le client, présente le rapport et pilote le contre-test.
6 ans et plus
Il dirige les simulations d’attaque complètes (Red Team), fixe les règles d’engagement et la méthode de l’équipe, forme les développeurs à la sécurité et conseille la direction sur les risques réels.
Master en sécurité informatique ou école d’ingénieurs, souvent après quelques années de développement ou d’administration système. Les certifications offensives (OSCP, PNPT, CEH) sont attendues par les clients ; les plateformes Hack The Box et Root Me permettent de prouver son niveau avant la première mission.
Des réalisations Wiicode où ce métier est au cœur de la stack.
Responsable d’équipe Red Team, architecte sécurité, responsable sécurité (RSSI), consultant indépendant.
Vous ne trouvez pas votre métier ?Candidature spontanée
