Red team
Équipe qui simule une attaque réaliste et ciblée, sur la durée, pour éprouver la prévention, la détection et la réaction d'une organisation.
Définition complète
Une red team est, selon le NIST, un groupe autorisé et organisé pour reproduire les capacités d'attaque d'un adversaire potentiel contre une organisation. Là où un test d'intrusion cherche un maximum de failles sur un périmètre donné, un exercice red team poursuit un objectif (accéder aux données financières, prendre le contrôle de la production) par tous les moyens autorisés : hameçonnage, intrusion physique, exploitation de failles, déplacement discret dans le réseau.
L'exercice teste aussi la blue team, c'est-à-dire les défenseurs : le SOC a-t-il vu l'attaque, en combien de temps, et a-t-il su réagir ? Le Panorama des métiers de l'ANSSI mentionne ces audits de type red team parmi les missions de l'auditeur de sécurité technique.
Ces exercices sont encadrés par la réglementation dans certains secteurs : le règlement européen DORA (article 26) impose aux entités financières identifiées des tests de pénétration fondés sur la menace au moins tous les trois ans. Pour la plupart des PME, un exercice red team n'est pertinent qu'une fois les bases sécurisées et un dispositif de détection en place.
Sources : NIST, glossaire CSRC : Red Team ; ANSSI, Panorama des métiers de la cybersécurité ; EUR-Lex, Règlement (UE) 2022/2554 (DORA), article 26
Exemple concret
Une ETI de 600 salariés du secteur de la défense commande un exercice red team de six semaines, connu seulement du directeur général et du RSSI. L'équipe obtient un premier accès grâce à un faux email de livraison, puis atteint le serveur des plans en dix jours. Le SOC a repéré une connexion inhabituelle mais ne l'a pas escaladée. L'entreprise revoit ses procédures d'alerte et ses règles d'accès aux données sensibles.
Comment se protéger
- Réserver l'exercice aux organisations qui ont déjà corrigé les failles de base et disposent d'une détection
- Fixer par écrit les objectifs, les limites et les actions interdites
- Limiter la connaissance de l'exercice à un cercle restreint (direction, RSSI)
- Prévoir une procédure d'arrêt immédiat en cas d'incident réel
- Mesurer la détection et la réaction autant que la réussite de l'intrusion
- Organiser ensuite une restitution commune avec les défenseurs, par exemple en purple team
Questions fréquentes
Rarement en premier lieu. Un audit, un test d'intrusion et une campagne d'hameçonnage simulé apportent d'abord plus de valeur. La red team intervient quand la maturité le justifie.
Le pentest est exhaustif sur un périmètre. La red team est ciblée sur un objectif, discrète et longue, et évalue aussi la capacité de détection.
Termes liés
Analyste SOC
Professionnel qui surveille en continu le système d'information pour détecter, analyser et qualifier les activités suspectes.
Ingénierie sociale
Manipulation psychologique pour obtenir des informations ou un accès.
Purple team
Exercice collaboratif où attaquants (red team) et défenseurs (blue team) travaillent ensemble pour améliorer la détection.
Test d'intrusion (pentest)
Attaque simulée et autorisée, menée par des auditeurs, pour trouver les failles exploitables d'un site, d'un réseau ou d'une application.
Vous avez besoin d'un expert en Red team ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.