Méthode
Red team
Aussi appeléExercice red teamSimulation d’adversaireAdversary simulation
En résumé
Un exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète. Il teste autant la capacité de détection et de réponse de l’organisation que l’existence de vulnérabilités techniques.
Red team, en détail
Contrairement à un test d’intrusion, qui cherche le plus grand nombre de défauts sur un périmètre défini, une red team poursuit un scénario avec un but à atteindre. Les opérateurs peuvent combiner l’hameçonnage : définition, l’accès physique, l’exploitation technique et l’ingénierie sociale : définition, en adaptant leurs techniques pour éviter la détection. Le succès se mesure à ce que l’équipe réussit à atteindre, et à ce que l’organisation a détecté en chemin.
Un exercice sérieux repose sur des règles d’engagement précises et sur un petit cercle informé, souvent la direction et quelques responsables, pendant que l’équipe de défense n’est pas prévenue. Elle doit réagir comme à une vraie attaque, ce qui révèle les délais de détection, de qualification, d’escalade et de décision. Une procédure d’arrêt d’urgence protège l’activité en cas d’impact inattendu.
La red team suppose un minimum de maturité : sans détection ni processus de réponse, le résultat serait que les opérateurs atteignent l’objectif sans difficulté, ce qu’un test d’intrusion aurait appris à moindre coût. Elle trouve son intérêt quand l’organisation a déjà traité les défauts techniques évidents et veut éprouver ses défenses de bout en bout. Le livrable est un récit chronologique et des mesures d’amélioration.
Qu’est-ce que cela change pour vous ?
Une red team répond à la question « sommes-nous capables de détecter et de contenir une attaque ciblée ? ». Si vous n’avez pas encore traité les vulnérabilités de base ni mis en place de détection, un test d’intrusion est un meilleur investissement.
Exemple illustratif (fictif)
Imaginons un exercice de plusieurs semaines pour un groupe industriel, dont l’objectif est d’atteindre la base de données des plans de produits. L’équipe de défense pourrait détecter la première phase d’hameçonnage en quelques heures, mais pas le mouvement latéral qui suit pendant plusieurs jours.
La confusion fréquente
Prendre une red team pour un « test d’intrusion plus poussé ». Les deux n’ont pas le même objectif : l’un cherche à couvrir des défauts, l’autre à éprouver la détection et la réponse face à un scénario précis.
Quelles prestations s’appuient sur ce terme ?
- Red team : la prestationSavoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Aller plus loin
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ArticleDORA : ce que le règlement impose en tests de sécurité et de résilienceLe règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- MéthodeBlue team et purple team : définitionLa blue team désigne l’équipe qui défend, détecte et répond aux attaques ; la purple team est un mode de travail où attaquants et défenseurs collaborent en direct, technique par technique, pour améliorer la détection plutôt que pour mesurer un résultat à l’insu de la défense.
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- AttaqueIngénierie sociale : définitionL’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- MéthodeTLPT : définitionUn test d’intrusion fondé sur la menace : un exercice avancé, proche d’un red team, qui reproduit les tactiques d’attaquants réalistes contre les systèmes de production d’une entité financière, à partir d’un scénario nourri de renseignements sur la menace, sous un encadrement réglementaire strict.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début