Red team ou test d'intrusion : de quoi avez-vous besoin ?
En bref : Un test d'intrusion identifie et classe autant de faiblesses exploitables que possible au sein d'un périmètre défini, au vu et au su de vos équipes. Une red team poursuit un objectif unique comme le ferait un véritable attaquant, en toute discrétion, afin de vérifier si vos défenseurs la détectent et l'arrêtent. Si vous n'avez jamais réalisé d'évaluation de sécurité ou si vous devez satisfaire un auditeur ou un assureur, il vous faut un test d'intrusion. La red team est l'étape suivante, une fois que vous disposez d'une équipe de sécurité qui mérite d'être mise à l'épreuve.
Les plaquettes commerciales utilisent « red team » et « test d'intrusion » comme s'il s'agissait du même service haut de gamme sous deux noms différents. Ce n'est pas le cas. Ils répondent à des questions différentes, s'appliquent à des périmètres différents et affichent des tarifs différents pour de bonnes raisons. Si vous cherchez une prestation, confondre les deux est le meilleur moyen de payer le prix d'une red team pour un travail qu'un pentest aurait accompli, ou d'acheter un pentest alors que la question que vous vous posez réellement est de savoir si quelqu'un remarquerait la présence d'un attaquant en interne. Voici la différence exacte.
À quoi sert un test d'intrusion
Un test d'intrusion répond à une question : que peut exploiter un attaquant dans ce périmètre défini, et quelle en est la gravité. Les auditeurs analysent les systèmes inclus dans le périmètre, identifient les vulnérabilités et, lorsque les règles d'engagement le permettent, prouvent l'impact réel en les enchaînant. Le National Institute of Standards and Technology américain, dans son guide d'évaluation NIST SP 800-115, décrit le test d'intrusion comme une évaluation de sécurité où les auditeurs simulent des attaques réelles pour identifier les moyens de contourner les fonctionnalités de sécurité d'une application, d'un système ou d'un réseau.
L'objectif est la couverture. Un bon pentest cherche à découvrir autant de problèmes exploitables que possible dans le périmètre imparti durant la période d'évaluation. Votre équipe est généralement informée de l'intervention, car le but est l'exhaustivité des résultats, pas le secret. Vous obtenez une liste priorisée des vulnérabilités et des correctifs à appliquer en premier.
À quoi sert une red team
Une mission de red team répond à une question différente : si un véritable attaquant visait un objectif précis, vos équipes, vos processus et vos technologies l'arrêteraient-ils, et quelqu'un s'en rendrait-il seulement compte. Le NIST définit un exercice de red team comme une tentative adversaire simulée, reflétant des conditions réelles, visant à compromettre les missions ou les processus métiers d'une organisation et à évaluer les capacités de sécurité du système et de l'organisation.
Lisez cela attentivement. Une red team ne se mesure pas au nombre de vulnérabilités qu'elle répertorie. Elle s'évalue par rapport à un objectif, par exemple accéder à une base de données spécifique ou à un système de paiement, en empruntant n'importe quelle voie efficace : un service non corrigé, un e-mail de hameçonnage, une porte physique, un mot de passe réutilisé. Elle simule le mode opératoire de véritables adversaires, souvent aligné sur une base de connaissances publique du comportement des attaquants comme MITRE ATT&CK. La discrétion fait partie intégrante du test, car votre capacité de détection et de réponse compte parmi les éléments évalués.
Les régulateurs l'entendent également ainsi. Le cadre TIBER-EU de la Banque centrale européenne, publié en 2018, s'appuie sur le red teaming guidé par le renseignement sur les menaces pour tester la résilience des institutions financières face à des attaques réalistes, précisément parce qu'il mesure la capacité de réponse, et pas seulement l'exposition.
Les vraies différences, côte à côte
| Test d'intrusion | Red team | |
|---|---|---|
| Objectif | Maximiser les vulnérabilités exploitables identifiées dans le périmètre | Atteindre un objectif et rapporter la progression obtenue |
| Périmètre | Une liste d'actifs et de techniques | Un objectif et des règles, avec des voies d'attaque bien plus larges |
| Discrétion | Généralement connu de vos équipes | Furtif, car il évalue si vous parvenez à le détecter |
| Ce qui est testé | Vos systèmes | Vos défenseurs autant que vos systèmes |
| Coût et durée | Plus court, moins coûteux | Plus long, plus discret, plus coûteux |
| Recommandé pour | Premières évaluations, audits, assureurs, clients grands comptes | Équipes mûres vérifiant leur détection et leur réponse |
Assumed breach : le juste milieu utile
Toutes les interventions de red team ne partent pas de zéro. Une variante courante est le scénario d'« assumed breach », où vous fournissez un accès initial à l'équipe, par exemple un ordinateur portable ou un identifiant d'employé, et observez jusqu'où elle peut progresser. Cela permet d'éviter la phase d'accès initial, souvent longue, et de consacrer le budget à évaluer ce qui se passe lorsqu'un attaquant est déjà dans la place, ce qui représente pour la plupart des entreprises la question la plus critique et la plus réaliste.
Duquel votre entreprise a-t-elle réellement besoin ?
Voici ce que la plupart des prestataires ne vous diront pas clairement. Une red team évalue votre blue team. Si vous n'avez pas de blue team, c'est-à-dire de personnel et d'outils dédiés à la surveillance et à la réponse aux intrusions, la red team aura très peu de choses à mesurer, et vous payerez le prix fort pour apprendre ce qu'un pentest vous aurait révélé à moindre coût. Une détection inexistante ne détectera pas non plus la red team.
En résumé :
- Vous n'avez jamais effectué d'évaluation de sécurité. Vous n'avez pas besoin d'une red team. Commencez par identifier ce qui est exposé et exploitable. C'est le domaine du pentest et de la surface d'attaque.
- Vous devez satisfaire un auditeur, un assureur ou un client grand compte. Ils désignent presque toujours un test d'intrusion. Confirmez leur formulation exacte avant tout achat, car le terme « red team » dans un contrat signifie parfois simplement « pentest ».
- Vous réalisez déjà des pentests, vous disposez d'une équipe de sécurité et vous voulez savoir si elle repérerait un véritable adversaire. Dans ce cas, une red team justifie pleinement son coût.
La maturité est le facteur décisif. Le red teaming est l'étape supérieure une fois les bases couvertes, pas le point de départ.
Commencez par connaître votre surface d'attaque
Quelle que soit votre orientation, la première étape logique reste la même : savoir ce qu'un attaquant peut déjà observer de l'extérieur, car c'est par là que tout auditeur, pentesteur ou membre d'une red team, commence.
Notre état des lieux à 100 $ constitue cet état initial, réalisé dans les règles de l'art : une analyse ciblée de votre surface d'attaque externe, sur un périmètre dont vous avez confirmé la propriété et autorisé l'évaluation par écrit, revue par un opérateur senior et restituée lors d'un échange de 30 minutes. Soyons clairs sur sa nature. Ce n'est ni une red team, ni un test d'intrusion complet. C'est un point de départ accessible et pragmatique qui vous indique, preuves à l'appui, la prestation dont vous avez réellement besoin par la suite.
Red team vs test d'intrusion : réponses rapides
Quelle est la différence entre une red team et un test d'intrusion ?
Un test d'intrusion identifie et classe autant de faiblesses exploitables que possible au sein d'un périmètre défini, généralement au vu et au su de vos équipes. Une red team poursuit un objectif unique comme le ferait un véritable attaquant, en toute discrétion, pour vérifier si vos défenseurs la détectent et l'arrêtent. Un pentest teste vos systèmes ; une red team teste vos systèmes et vos équipes.
Une red team est-elle plus approfondie qu'un test d'intrusion ?
Pas exactement. Une red team va plus en profondeur sur un chemin restreint menant à un objectif et sur votre détection et réponse, tandis qu'un test d'intrusion balaye plus largement les problèmes exploitables sur l'ensemble du périmètre. Ils répondent à des questions différentes, la notion de niveau de détail dépend donc de votre besoin.
Que devrait choisir une petite entreprise en premier ?
Presque toujours un test d'intrusion, ou un bilan de surface d'attaque encore moins cher au préalable. Une red team évalue votre blue team, donc si vous n'avez pas encore d'équipe ni d'outils surveillant les intrusions, elle aura peu de choses à évaluer et vous payerez un supplément pour apprendre ce qu'un pentest vous aurait révélé.
Lorsqu'un auditeur ou un assureur exige une « red team », s'agit-il vraiment d'une red team ?
Ils désignent souvent un test d'intrusion et utilisent le terme de manière approximative. Confirmez l'exigence exacte par écrit avant toute commande, car l'écart de prix est important.
Lectures complémentaires
Vous ne savez pas de quoi vous avez besoin ?
La plupart des entreprises ont besoin d'un test d'intrusion, pas d'une red team, et la première étape la plus économique consiste simplement à mesurer votre exposition. Notre état des lieux à 100 $ apporte ce premier regard.
Réserver un état des lieux à 100 $