Mission red team
Savoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
Réponse courte
Red team : de quoi s’agit-il, pour qui, à quel prix ?
Simulation d’attaque ciblée, discrète, menée sur plusieurs semaines contre des objectifs définis avec vous, et évaluée autant sur votre détection que sur notre progression. Public concerné : organisations avec un SOC ou un service de détection externalisé à éprouver. Durée indicative : 3 à 8 semaines. Prix d’entrée : à partir de 6 900 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Un test d’intrusion répond à « qu’est-ce qui est vulnérable ? ». Une mission red team répond à une autre question, plus dérangeante : « si quelqu’un nous visait vraiment, le verrions-nous, et en combien de temps ? »
La mission se fixe des objectifs concrets, choisis avec vous : atteindre telle base de données, émettre un virement de test, exfiltrer un jeu de données marqué. Les chemins restent libres (reconnaissance externe, hameçonnage : définition ciblé, service exposé, prestataire), dans les limites posées par les règles d’engagement.
La discrétion fait partie du livrable. À chaque étape, nous notons ce qui a déclenché une alerte, ce qui a été vu sans être traité, et ce qui est passé inaperçu. C’est cette chronologie, confrontée à la vôtre, qui a le plus de valeur à la restitution.
Une mission red team suppose un socle déjà en place. Si l’infrastructure interne n’a jamais été auditée, un test d’intrusion interne apporte davantage, pour moins cher : nous le dirons franchement au cadrage.
En résumé
- Durée indicative
- 3 à 8 semaines
- Prix
- à partir de 6 900 € HTselon les objectifs, la durée et le niveau de discrétion exigé
- Référentiels appliqués
- MITRE ATT&CKTIBER-EU (inspiration méthodologique)PTES
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Red team : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Reconnaissance et surface externe
Empreinte Internet, sous-domaines oubliés, fuites d’identifiants, informations publiques exploitables, prestataires et chaîne d’approvisionnement.
Accès initial
Hameçonnage ciblé avec scénario validé, service exposé vulnérable, abus d’un accès légitime, selon ce que les règles d’engagement autorisent.
Progression et persistance
Élévation de privilèges, déplacement latéral, maintien d’accès, en cherchant à rester sous le seuil de détection.
Atteinte des objectifs
Accès à la donnée ou à la fonction visée, exfiltration contrôlée d’un jeu de données marqué, sans aucune action destructive.
Mesure de la détection
Chronologie complète de nos actions, à confronter à vos journaux et alertes : ce qui a été vu, quand, et ce qui en a été fait.
Red team : que livre la mission ?
- Récit chronologique de l’attaque, étape par étape, avec les preuves
- Comparaison entre notre chronologie et votre chronologie de détection
- Liste des angles morts de détection, avec règles de détection proposées
- Recommandations séparées : ce qui bloque l’accès, ce qui améliore la vue
- Restitution conjointe équipes offensives / équipes défensives
Qu’est-ce que cela change pour vous ?
- Un délai de détection et un délai de réaction relevés pendant l’exercice
- Des règles de détection écrites à partir d’une attaque jouée chez vous
- Un exercice que les équipes défensives peuvent rejouer
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Red team : pour qui est-ce utile ?
- Organisations avec un SOC ou un service de détection externalisé à éprouver
- Secteurs réglementés soumis à des exercices de résilience
- Entreprises déjà rodées aux tests d’intrusion classiques
- Directions qui veulent une mesure de bout en bout, détection comprise
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Red team : combien de temps dure la mission ?
Durée indicative : 3 à 8 semaines. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (6 900 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Red team : ce qu’on nous demande
Qui doit être au courant dans l’entreprise ?
Le moins de personnes possible, et c’est le point. En pratique : un commanditaire au niveau de la direction, et un ou deux contacts de confiance joignables à tout moment pour arrêter la mission ou lever un doute. Les équipes de détection, elles, ne sont pas prévenues : sinon l’exercice ne mesure plus rien.
Allez-vous hameçonner nos salariés ?
Seulement si le périmètre le prévoit, et dans un cadre précisé par écrit : population visée, scénarios validés en amont, aucune collecte de mot de passe réel conservée, aucune donnée personnelle utilisée au-delà du nécessaire. Les résultats sont restitués de façon agrégée : l’objectif est de mesurer un dispositif, pas de désigner des personnes.
Et si vous êtes détectés tout de suite ?
C’est une excellente nouvelle, et un résultat en soi. Selon ce qui a été convenu, la mission peut soit s’arrêter là en documentant la détection, soit se poursuivre depuis un accès concédé afin d’évaluer la suite (progression, persistance, atteinte des objectifs).
Une mission red team remplace-t-elle un test d’intrusion fondé sur la menace exigé par DORA ?
Pas automatiquement. Le test d’intrusion fondé sur la menace (TLPT) de l’article 26 de DORA suit un cadre précis : entités désignées par leur autorité, méthode et phases fixées par le règlement délégué 2025/1190, et testeurs répondant aux critères de l’article 27. Un exercice de red team commercial peut préparer une entité à cet exercice, mais seul un test conforme remplit l’obligation. Reconmind ne revendique pas de certification : si un TLPT vous est imposé, nous vous disons dès le cadrage si nous y répondons.
Pour comprendre avant de décider
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ArticleDORA : ce que le règlement impose en tests de sécurité et de résilienceLe règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Quelles prestations s’y associent ?
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Sensibilisation
Des équipes qui savent quoi faire devant un message douteux.
sessions de 1 à 3 h ; campagnes sur 3 à 12 moisdès 490 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Red team » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse