Red team

Une opération red team simule un attaquant réel contre l’ensemble d’une organisation, et pas seulement contre une application. L’équipe se voit fixer des objectifs métier, exfiltrer des données clients, atteindre le système de paie, compromettre l’Active Directory, et emploie tous les moyens plausibles pour y parvenir : intrusion technique, phishing, parfois même accès physique aux locaux. Surtout, elle opère dans la durée et en furtivité, car l’un des enjeux est de mesurer si la défense détecte quelque chose.

C’est ce qui la distingue du pentest classique. Le pentest cherche l’exhaustivité sur un périmètre délimité et annoncé ; la red team cherche un chemin, un seul, vers un objectif, sans prévenir les équipes de défense. Les deux exercices sont complémentaires et ne répondent pas à la même question, comme nous le détaillons dans notre comparatif red team ou pentest.

Dans les secteurs régulés, l’exercice s’institutionnalise : le cadre TIBER-EU et le TLPT imposé par DORA aux entités financières sont des red teams encadrées par le régulateur, pilotées par du renseignement sur la menace. Une red team se justifie quand la maturité est déjà là ; avant cela, un test d’intrusion ciblé rapporte davantage.