Méthode
Émulation d’adversaire
Aussi appeléAdversary emulationÉmulation de menaceRejeu de techniques d’attaque
En résumé
Une méthode de test qui reproduit les techniques documentées d’un groupe d’attaquants réel ou d’un scénario de menace, en suivant sa chaîne d’actions, pour vérifier ce que les défenses détectent et bloquent. Elle s’appuie souvent sur la matrice MITRE ATT&CK pour décrire et mesurer ce qui est rejoué.
Émulation d’adversaire, en détail
Un test d’intrusion cherche les vulnérabilités et prend les chemins les plus simples. L’émulation d’adversaire pose une autre question : si un groupe précis, connu pour viser votre secteur, entrait chez vous, ses techniques seraient-elles détectées ? On choisit donc un scénario fondé sur des comptes rendus publics de campagnes réelles, puis on rejoue ses techniques dans l’ordre : accès initial, exécution, persistance, déplacement latéral : définition, exfiltration.
La matrice MITRE ATT&CK : définition donne le vocabulaire commun : chaque technique a un identifiant, une description, des exemples d’usage par des groupes connus et des conseils de détection. Elle permet de dresser un tableau des techniques testées et de leur état (bloquée, alertée, journalisée, invisible), et de comparer les résultats entre deux exercices.
L’émulation peut se mener de deux manières. En mode discret, comme dans une mission red team, on mesure la détection sous surprise. En mode collaboratif, appelé purple team : définition, attaquants et défenseurs travaillent ensemble technique par technique, ce qui permet d’écrire et de tester les règles de détection immédiatement. Le choix dépend de la maturité de l’équipe : le collaboratif est généralement plus efficace pour débuter.
Qu’est-ce que cela change pour vous ?
L’émulation remplace un sentiment de couverture par un tableau de techniques testées. Elle indique où investir en détection, selon les menaces qui vous visent.
Exemple illustratif (fictif)
Par exemple, une équipe rejoue dix techniques utilisées par un groupe de rançongiciel : trois sont bloquées, quatre déclenchent une alerte, deux sont journalisées sans alerte et une passe sans aucune trace. Le plan d’amélioration se concentre sur ces trois dernières.
La confusion fréquente
Prendre la couverture de la matrice pour un score de sécurité. Détecter toutes les techniques d’une matrice ne prouve pas qu’on détectera une variante, et une technique « couverte » peut l’être par une règle fragile.
Quelles prestations s’appuient sur ce terme ?
- Purple team : la prestationRejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.
- Red team : la prestationSavoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
Aller plus loin
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- MéthodeBlue team et purple team : définitionLa blue team désigne l’équipe qui défend, détecte et répond aux attaques ; la purple team est un mode de travail où attaquants et défenseurs collaborent en direct, technique par technique, pour améliorer la détection plutôt que pour mesurer un résultat à l’insu de la défense.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début