Comparatif
Test d’intrusion ou red team : quelle différence et lequel acheter ?
En résumé
Un test d’intrusion cherche à trouver et prouver le plus grand nombre de vulnérabilités sur un périmètre donné, à partir de 1 490 €. Une red team simule un adversaire avec un objectif précis, sans prévenir vos équipes de défense, et mesure si vous le détectez, à partir de 6 900 €. La red team n’a de sens que si vos défauts de base sont traités et si vous disposez d’une détection à éprouver. Avant cela, elle montre surtout ce que le test d’intrusion aurait trouvé moins cher.
Sommaire : 5 sections
Ce que chaque option fait, et ce qu’elle ne fait pas
Trouver et prouver un maximum de failles sur un périmètre.
Test d’intrusion
Une mission cadrée, annoncée aux équipes, qui vise la couverture : trouver tout ce qui est exploitable sur un périmètre et le documenter. Elle répond à « quelles failles ai-je, et lesquelles corriger d’abord ? ».
- Prix
- À partir de 1 490 € (web) et 2 400 € (interne et Active Directory). Le prix monte avec le périmètre, le nombre de rôles et les contraintes d’horaires.
- Durée
- 2 à 15 jours selon le périmètre
Ce que cela apporte
- Produit une liste hiérarchisée et corrigeable : chaque constat est reproduit avec son correctif.
- Optimise le nombre de failles trouvées par jour dépensé.
- Coût d’entrée accessible et périmètre clair.
- Re-test possible pour vérifier les corrections.
Ce que cela ne fait pas
- Ne dit pas si vos équipes détecteraient une vraie attaque : elles sont prévenues.
- Reste dans un périmètre : un chemin d’attaque qui en sort n’est pas exploré.
- Teste des applications ou des réseaux, pas la réaction organisationnelle.
Mesurer si votre défense voit un adversaire déterminé.
Red team
Une simulation d’attaque menée vers un objectif (accéder à une donnée, prendre la main sur l’annuaire), sur une durée longue, avec peu de personnes informées. Elle répond à « mes équipes de détection et de réponse réagiraient-elles à temps ? ».
- Prix
- À partir de 6 900 €. Le prix monte avec la durée, le nombre d’objectifs, les vecteurs autorisés (accès physique, ingénierie sociale) et les contraintes de discrétion.
- Durée
- Plusieurs semaines selon les objectifs
Ce que cela apporte
- Éprouve la détection, la réponse et la coordination, pas seulement les systèmes.
- Teste les chemins réalistes, y compris ceux qui traversent plusieurs périmètres.
- Donne à la direction une lecture concrète du risque, sous forme de scénario.
- Alimente un plan d’amélioration de la détection avec des faits.
Ce que cela ne fait pas
- Ne cherche pas l’exhaustivité : une fois l’objectif atteint, les autres failles ne sont pas listées.
- Inutile si vous n’avez rien pour détecter : le résultat sera « personne n’a rien vu », attendu d’avance.
- Plus coûteuse, plus longue, avec des règles d’engagement à négocier soigneusement.
Un verdict par ligne
La colonne de droite tranche. Quand les deux options se valent, elle le dit : c’est un résultat à part entière.
| Critère | Test d’intrusion | Red team | Avantage |
|---|---|---|---|
| Objectif | Couvrir un périmètre et lister les failles exploitables. | Atteindre un objectif précis et observer la réaction de la défense. | égal |
| Utilité quand les bases ne sont pas posées | Très forte : elle donne la liste des corrections prioritaires. | Faible : un adversaire passe par le premier défaut venu et l’exercice s’arrête vite. | Test d’intrusion |
| Test de la détection et de la réponse | Peu pertinent : les équipes sont prévenues. | Cœur de l’exercice, avec peu de personnes informées. | Red team |
| Exhaustivité des failles trouvées | Maximale sur le périmètre. | Partielle : on s’arrête une fois l’objectif atteint. | Test d’intrusion |
| Réalisme du scénario | Technique et cadré, par construction. | Proche d’un adversaire réel, y compris sur plusieurs périmètres. | Red team |
| Coût d’entrée | À partir de 1 490 € (web), 1 290 € (interne). | À partir de 6 900 €. | Test d’intrusion |
| Préparation requise | Comptes de test et référent technique. | Règles d’engagement, cellule restreinte informée, procédure d’arrêt. | Test d’intrusion |
| Valeur pour un comité de direction | Liste de corrections, lisible surtout par les techniques. | Récit d’attaque de bout en bout, très parlant pour les décideurs. | Red team |
Lequel dans votre situation
Prenez test d’intrusion si…
- Vous n’avez jamais fait de test d’intrusion, ou le dernier remonte à plus d’un an.
- Vous n’avez pas de supervision ni de détection en place pour éprouver.
- Vous voulez une liste de corrections à passer à vos équipes de développement ou d’exploitation.
- Votre budget est contraint et vous voulez le meilleur rapport entre failles trouvées et euros dépensés.
Prenez red team si…
- Vous avez déjà enchaîné plusieurs tests d’intrusion et corrigé leurs constats.
- Vous disposez d’une supervision ou d’un centre opérationnel et voulez savoir s’ils détecteraient une attaque réelle.
- Un chemin d’attaque traverse plusieurs périmètres (poste, annuaire, cloud) et aucun test isolé ne le couvre.
- Votre direction veut un scénario concret pour arbitrer un budget de détection.
Et si la réponse était « les deux » ?
Dans l’ordre, le test d’intrusion d’abord, la red team ensuite. Le test d’intrusion fait tomber les défauts de base et donne à vos équipes des corrections à appliquer. Une fois cela fait, et une détection en place, la red team vérifie ce que le test ne peut pas vérifier : si votre défense réagit. Inverser l’ordre revient à payer plus cher pour apprendre la même chose, en moins complet.
Ce qu’on nous demande ensuite
Quelle est la différence entre un pentest et une red team ?
Le test d’intrusion vise l’exhaustivité sur un périmètre annoncé : trouver et prouver un maximum de failles pour que vous les corrigiez. La red team vise un objectif, avec un adversaire simulé et peu de personnes informées, pour mesurer si votre détection et votre réponse fonctionnent. Le premier produit une liste de corrections, la seconde une évaluation de votre capacité de défense.
Quand une entreprise est-elle prête pour une red team ?
Quand elle a déjà traité les constats de ses tests d’intrusion, dispose d’une supervision ou d’une équipe capable de détecter, et souhaite savoir si cette capacité tient face à un adversaire déterminé. Sans détection en place, le résultat est connu d’avance et l’exercice sert surtout à justifier l’achat de supervision, ce qu’un test d’intrusion et un échange de cadrage permettent déjà.
Une red team prouve-t-elle que nous sommes protégés ?
Non. Une red team éprouve un scénario, avec un objectif et des moyens donnés, à une date donnée. Elle ne couvre pas tous les chemins possibles et son rapport décrit ce qui a été tenté et obtenu, pas l’absence d’autres failles. Sa valeur est de révéler si votre détection réagit, et de fournir des faits pour améliorer la défense.
Prestations concernées
- PrestationPentest webSavoir ce qu’un attaquant obtiendrait sur votre application.
- PrestationRed teamSavoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
- PrestationSupervision & SOCUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
- PrestationRéponse à incidentComprendre, contenir, puis remettre en service, dans cet ordre.
Autres arbitrages
- ComparatifScan ou pentest : le comparatifUn scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
- ComparatifBoîte noire ou boîte grise ?Un test sans aucune information ou avec comptes et documentation. La boîte grise donne plus de résultats par euro dépensé ; la boîte noire répond à une autre question. Quand choisir chacune.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début