Red team
Une opération red team simule un adversaire réel contre toute l'organisation : objectifs métier, furtivité, ingénierie sociale, pour éprouver les défenses en conditions réelles.
Une opération red team simule un attaquant réel contre l'ensemble d'une organisation, et pas seulement contre une application. L'équipe se voit fixer des objectifs métier, exfiltrer des données clients, atteindre le système de paie, compromettre l'Active Directory, et emploie tous les moyens plausibles pour y parvenir : intrusion technique, phishing, parfois même accès physique aux locaux. Surtout, elle opère dans la durée et en furtivité, car l'un des enjeux est de mesurer si la défense détecte quelque chose.
C'est ce qui la distingue du pentest classique. Le pentest cherche l'exhaustivité sur un périmètre délimité et annoncé ; la red team cherche un chemin, un seul, vers un objectif, sans prévenir les équipes de défense. Les deux exercices sont complémentaires et ne répondent pas à la même question, comme nous le détaillons dans notre comparatif red team ou pentest.
Dans les secteurs régulés, l'exercice s'institutionnalise : le cadre TIBER-EU et le TLPT imposé par DORA aux entités financières sont des red teams encadrées par le régulateur, pilotées par du renseignement sur la menace. Une red team se justifie quand la maturité est déjà là ; avant cela, un test d'intrusion ciblé rapporte davantage.
Ce que l'exercice mesure vraiment
Une red team ne produit pas une liste de vulnérabilités, elle produit un verdict sur la détection. Les questions auxquelles elle répond sont d'un autre ordre : combien de temps avant que quelqu'un voie passer quelque chose, quelles alertes ont été levées puis classées sans suite, qui a été prévenu et en combien de temps, quelles décisions ont été prises. C'est pourquoi l'exercice n'a de sens qu'en face d'une capacité de défense constituée, équipe interne ou infogérance de sécurité. Sans elle, on paie très cher un pentest très long, dont personne ne saura quoi faire du résultat.
Le cadre à poser avant de commencer
Trois documents évitent l'incident. Une lettre d'autorisation nominative que l'opérateur porte sur lui, indispensable dès qu'il y a intrusion physique ou usurpation. Un canal de désescalade avec une personne joignable à toute heure, capable d'arrêter l'exercice. Et une liste écrite de ce qui reste interdit : arrêt de production, altération de données réelles, ingénierie sociale portant sur la vie privée des salariés. Le pilotage revient à une équipe restreinte, seule au courant. Notre comparatif red team ou pentest détaille les prérequis de maturité, et le pentest web whitebox reste le bon point d'entrée quand ils ne sont pas réunis.
Questions fréquentes
Red team et pentest, la différence en une phrase ?
Le pentest cherche toutes les failles d'un périmètre annoncé, la red team cherche un seul chemin vers un objectif métier, sans prévenir les défenseurs.
Faut-il prévenir l'équipe de détection ?
Non, c'est tout l'intérêt de l'exercice. Seule une équipe de pilotage restreinte est informée, ce qui permet de mesurer la détection réelle. Elle peut interrompre l'opération si une alerte déclenche une réponse à incident coûteuse ou risquée pour la production.
Combien de temps dure une opération red team ?
Plusieurs semaines, souvent six à douze, parce que la furtivité impose un rythme lent. Un exercice compressé sur cinq jours perd la dimension de détection dans la durée et redevient, en pratique, un test d'intrusion classique.