> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/fr/msi/review-your-threat-model/compare-with-pentest-or-scanner-findings.md).

# Comparez votre modèle de menaces aux résultats des tests d’intrusion ou des scanners

Importez un rapport de test d’intrusion ou la sortie d’un outil d’analyse de sécurité pour vérifier si votre modèle de menaces avait prédit les résultats des tests. MSI examine chaque constat, l’associe aux menaces de votre registre des risques et ajoute toute attaque omise par le modèle en tant que nouvelle menace découverte.

## Avant de commencer

* Le plan de votre organisation doit inclure Threat Modeling.
* Sélectionnez le dispositif et sa version couverts par le test ou l’analyse.
* Exécutez d’abord un modèle de menaces pour cette version. Les constats sont associés aux menaces du registre des risques ; sans modèle, les constats de l’outil d’analyse sont importés, mais ne sont associés à aucune menace.

## Importer un rapport

1. Dans la barre latérale, sélectionnez **Import Report**. Si des importations existent déjà pour le dispositif, la plus récente s’ouvre. Pour en ajouter une autre, utilisez le sélecteur dans l’en-tête de la page et sélectionnez **+ New Import**.
2. Sous **Report type**, choisissez **Pen test** ou **Scanner**.
3. Téléversez vos fichiers en suivant les étapes indiquées ci-dessous pour le type de rapport choisi.

Vos importations sont répertoriées sous **Previous imports** avec leur type, leur état, leur date et le nom de la personne qui les a téléversées. Sélectionnez-en une pour l’ouvrir.

### Importer un rapport de test d’intrusion

1. Sélectionnez **Choose reports**, ou faites glisser un ou plusieurs rapports dans la zone de téléversement. Les formats pris en charge sont .pdf, .docx, .md, .txt, .rtf et .html, jusqu’à 50 Mo chacun. Chaque rapport est importé séparément.
2. Attendez que l’importation passe par les étapes **Reading the report** et **Linking to the register** jusqu’à **Ready for review**.

### Importer la sortie d’un outil d’analyse ou de revue de code

1. Facultatif : dans **What was scanned (optional)**, décrivez la cible, par exemple un dépôt ou une image de micrologiciel.
2. Facultatif : dans **Architecture element (optional)**, choisissez l’actif du dispositif couvert par l’analyse. Sans sélection, les constats sont associés au **Device level**.
3. Sélectionnez **Choose files**, ou faites glisser un ou plusieurs fichiers dans la zone de téléversement. Le panneau de téléversement répertorie sous **Natively supported**les formats que MSI peut lire nativement. Tout autre contenu, comme un rapport de constatations ou un export d’un autre outil, est analysé par l’IA, et chaque citation est vérifiée à partir du fichier.
4. Attendez que l’importation passe par les étapes **Reading file** et **Linking to threats** jusqu’à **Completed**.

Si un fichier est ignoré, le panneau de téléversement l’indique avec la raison, par exemple **Already imported** ou **Impossible à lire**.

## Comprendre comment les constats sont associés aux menaces

### Constats de test d’intrusion

Le récapitulatif en haut indique combien de constats figuraient déjà dans votre modèle de menaces, combien de menaces supplémentaires ont été découvertes, combien doivent être examinées et combien de citations ont été vérifiées par rapport au rapport.

Chaque constat indique comment il a été associé à une menace :

| Correspondance                                           | Signification                                                                                                |
| -------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------ |
| **Votre modèle de menaces l’avait anticipé**             | Le constat correspond à une menace déjà répertoriée dans le modèle pour cet actif et cette catégorie STRIDE. |
| **Correspondance par titre**                             | Le constat a été associé à une menace existante en fonction de son titre.                                    |
| **Associé à l’élément — catégorie STRIDE non confirmée** | Le constat concerne le bon actif, mais le type d’attaque n’est pas confirmé. Vérifiez cette association.     |
| **Menace supplémentaire découverte**                     | L’attaque ne figurait pas dans le registre ; elle a donc été ajoutée en tant que nouvelle menace.            |
| **Association établie par un réviseur**                  | Un membre de votre équipe a établi cette association manuellement.                                           |

Un constat de test d’intrusion qui exploite une menace est considéré comme une preuve de sa mise en évidence. Dans le registre des risques, filtrez **Preuves** par **Test d’intrusion (mis en évidence)** pour afficher ces risques. Les scores de risque sont uniquement proposés à partir des constats. Ils ne sont jamais modifiés automatiquement.

La gravité attribuée par le testeur est indiquée comme **Évalué par le testeur** et reste distincte de votre score de risque. Filtrez les constats par **État de traitement** (par exemple **Ouvert**, **Fermé**, ou **Risque accepté**) ou effectuez une recherche avec **Rechercher des constats...**.

### Constats d’analyse

Les constats d’analyse sont conservés comme preuves. Le signalement d’une faiblesse par un outil d’analyse constitue une piste à examiner, et non la preuve d’une exploitation. Les dépendances vulnérables apparaissent dans l’écran Vulnérabilités.

Le récapitulatif indique combien de classes de faiblesses détectées lors de l’analyse étaient anticipées dans votre modèle de menaces, et présente le nombre de constats par catégorie, par exemple **Dépendance (SCA)**, **Code (SAST)**, **Secret**, **Infrastructure as code**, **Dynamique (DAST)**, et **Revue de code**. Seuls les constats ouverts de gravité élevée ou critique créent une nouvelle ligne dans le registre ; les classes de faiblesses sous ce seuil sont conservées uniquement comme constats. Filtrez les constats par **Catégorie**, **Gravité**, et **Statut**.

## Examiner un constat

* **Corriger une association incorrecte**: sur un constat, sélectionnez **Retirer l’association** et indiquez une raison. Pour une constatation issue d’un test d’intrusion, sélectionnez **Link to Threat** pour la rattacher à la menace appropriée.
* **Résoudre une constatation du scanner**: choisissez **Mark fixed**, **False positive**, **Accept risk**, ou **Hand back to scanner**, avec une note de révision facultative.

## Prochaines étapes

* [Effectuer le triage des risques dans le registre des risques](/fr/msi/review-your-threat-model/triage-risks-in-the-risk-register.md): examinez les menaces que vos constatations ont confirmées ou ajoutées.
* [Examiner votre modèle de menaces](/fr/msi/review-your-threat-model.md): régénérez le modèle à la lumière des enseignements tirés des tests.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.medcrypt.com/fr/msi/review-your-threat-model/compare-with-pentest-or-scanner-findings.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.