Reconmind, accueil
Cadrage gratuit
Cybersécurité offensive

Exercice purple team : améliorer la détection avec l’attaque rejouée

Rejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.

Réponse courte

Purple team : de quoi s’agit-il, pour qui, à quel prix ?

Atelier collaboratif où nous rejouons des techniques d’attaque documentées (MITRE ATT&CK) pendant que vos équipes vérifient ce que leurs outils voient, puis améliorent les règles de détection en séance. Durée indicative : 2 à 5 jours d’atelier, plus une préparation. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.

Une mission red team est discrète : l’attaquant cherche à ne pas être vu, et la restitution arrive à la fin. L’exercice purple team : définition est son opposé : attaquants et défenseurs sont dans la même pièce, chaque technique est exécutée une par une, et les défenseurs cherchent aussitôt la trace dans leurs journaux et leurs outils. On apprend ici en quelques heures ce qu’une mission discrète met des semaines à révéler.

La préparation consiste à choisir les scénarios pertinents pour vous, par exemple les techniques d’un groupe de rançongiciel : définition qui vise votre secteur, et à les rattacher à la matrice MITRE ATT&CK : définition. Pour chaque technique, nous notons le résultat : bloquée, alertée, journalisée sans alerte ou invisible. Quand la détection manque, l’équipe écrit ou ajuste la règle, et nous rejouons la technique pour confirmer que l’alerte sonne.

Le purple team convient surtout quand la détection est jeune ou mal connue. Il ne mesure pas ce que vos équipes font sous surprise, ni leur vitesse de réaction réelle : c’est le rôle d’une mission red team, qui peut utilement suivre. Beaucoup d’organisations gagnent à passer par l’atelier d’abord, parce qu’une équipe qui voit enfin ce que ses outils manquent est mieux préparée à l’exercice suivant.

Cadrer cette missionVoir la méthode

En résumé

Durée indicative
2 à 5 jours d’atelier, plus une préparation
Prix
sur devissur devis après cadrage : le prix dépend du nombre de scénarios et de la durée de l’atelier
Référentiels appliqués
MITRE ATT&CKFormat de règles SigmaTIBER-EUNIST SP 800-115

Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.

Réponse à toute demande sous 24 h ouvrées.

Purple team : que couvre la mission ?

Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.

01

Choix des scénarios

Techniques inspirées des menaces qui visent votre secteur, rattachées à la matrice MITRE ATT&CK et ordonnées de l’accès initial jusqu’à l’impact.

02

Exécution technique par technique

Chaque technique est exécutée seule, dans un environnement convenu, avec un enregistrement de ce qui a été lancé et de l’heure exacte.

03

Visibilité dans les journaux et les outils

Vérification de ce que l’EDR, le SIEM, les journaux Windows et le réseau ont enregistré : sources manquantes, données tronquées, retards de remontée.

04

Écriture et réglage des règles

Création ou ajustement des règles de détection avec vos analystes, au format de votre outil (Sigma pour la portabilité), puis nouvel essai de confirmation.

05

Mesure de la couverture

Tableau des techniques testées et de leur état avant et après l’atelier, pour suivre la progression d’une session à l’autre.

06

Réponse et escalade

Qui reçoit l’alerte, comment elle est qualifiée et transmise, et ce qui se passe quand elle est ignorée ou mal comprise.

Purple team : que livre la mission ?

  • Matrice des techniques testées avec leur état avant et après l’atelier
  • Règles de détection écrites ou corrigées, prêtes à déployer dans votre outil
  • Liste des sources de journaux manquantes ou mal configurées
  • Journal horodaté des actions exécutées, rejouable par vos équipes
  • Plan d’amélioration de la détection par ordre de priorité
  • Restitution et proposition de suite (nouvel atelier ou mission red team)

Qu’est-ce que cela change pour vous ?

  • Une couverture de détection mesurée sur des techniques précises, au lieu d’une impression
  • Des règles de détection fonctionnelles, testées devant vos analystes
  • Une équipe qui sait ce que ses outils voient, et ce qu’ils ne voient pas

Purple team : pour qui est-ce utile ?

  • Équipes de détection récentes, internes ou externalisées, qui veulent savoir ce que leurs outils voient
  • Organisations qui ont investi dans un EDR ou un SIEM sans avoir mesuré ce qu’ils détectent
  • Équipes qui sortent d’une mission red team et veulent corriger les angles morts constatés
  • Entreprises soumises à des exigences de tests de leurs capacités de détection

Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.

Purple team : combien de temps dure la mission ?

Durée indicative : 2 à 5 jours d’atelier, plus une préparation. Les 5 étapes de cette mission, dans l’ordre.

  1. 01

    Cadrage et choix des techniques

    Retenir avec vous les techniques d’attaque à rejouer, selon les menaces qui vous visent et les outils de détection en place.

  2. 02

    Autorisation et règles d’engagement

    Périmètre, plage horaire et contact d’arrêt écrits avant toute action, comme pour un test d’intrusion.

  3. 03

    Rejeu devant vos analystes

    Exécuter chaque technique en direct et observer ce que vos outils voient, ou ne voient pas.

  4. 04

    Écriture et réglage des règles

    Écrire ou corriger les règles de détection, puis rejouer la technique pour confirmer qu’elle déclenche une alerte.

  5. 05

    Mesure et plan d’amélioration

    Comparer la couverture avant et après, lister les sources de journaux manquantes et ordonner la suite.

Qu’est-ce qui est vérifiable avant de signer ?

Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.

Ce que nous ne promettons pasMéthode et règles d’engagement

  • Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
  • Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
  • Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
  • Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
  • Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.

Comment démarrer cette mission ?

Trois étapes, et le cadrage est gratuit et sans engagement.

Demander le cadrageVoir les tarifs
  1. 1

    Vous décrivez le périmètre

    Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.

  2. 2

    Nous répondons avec un créneau

    Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.

  3. 3

    Le cadrage débouche sur un devis

    Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.

Purple team : ce qu’on nous demande

Toutes les questions

Faut-il avoir un SOC ou un SIEM pour faire un exercice purple team ?

Non. Si vous avez au moins des journaux et une solution de protection des postes, l’exercice a du sens : il révèle justement ce qui manque. Sans SOC ni SIEM, l’atelier sert à décider quoi collecter et quelles alertes mettre en place, avec les moyens dont vous disposez. Plus l’équipe est petite, plus il est utile de partir d’un petit nombre de techniques bien choisies.

Par quoi commencer, un exercice purple team ou une mission red team ?

Si vos équipes de détection sont jeunes ou si vous ne savez pas ce que vos outils voient, commencez par l’exercice purple team. Il corrige les angles morts les plus évidents à moindre coût, avant qu’une mission red team ne les exploite sans rien apprendre de nouveau. Si votre détection est éprouvée et que vous voulez la tester sous surprise, passez directement à la mission red team. Les deux s’enchaînent bien.

Combien de techniques peut-on rejouer pendant un exercice ?

Cela dépend du temps passé sur chacune. Une technique simple, détectée du premier coup, se vérifie en quelques minutes. Une technique non détectée demande d’enquêter, d’écrire une règle, puis de la tester à nouveau, ce qui prend plus longtemps. Nous préférons un petit nombre de techniques traitées jusqu’au bout plutôt qu’une longue liste survolée : le nombre définitif se fixe avec vous au cadrage.

Pour comprendre avant de décider

Quelles prestations s’y associent ?

  • Red team

    Savoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.

    3 à 8 semainesdès 6 900 €

  • Supervision & SOC

    Une attaque que personne ne voit dure plus longtemps et coûte plus cher.

    mise en place de 2 à 6 semaines, puis supervision continuedès 290 €

  • Audit Active Directory

    Savoir qui peut devenir administrateur du domaine, et par quel chemin.

    3 à 10 jours selon la taille de la forêtdès 2 400 €

Toute la famille : Cybersécurité offensive

Réponse à toute demande sous 24 h ouvrées

Parler de votre besoin

Trente minutes de cadrage suffisent à savoir si « Purple team » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.

Demander un cadrage gratuitConsulter les tarifs
  • Accord de confidentialité systématique
  • Cadrage gratuit et sans engagement
  • Périmètre et prix écrits avant le début