Simulation d’attaque ciblée
Red teaming : de l’accès initial au contrôle du domaine
Là où un test d’intrusion mesure la solidité d’un périmètre, l’exercice red team mesure autre chose : combien de temps il faut à vos équipes pour voir l’attaque, la comprendre et l’arrêter.
Objectifs convenus à l’avance. Règles d’engagement écrites et signées.
Déroulé
Comment se construit un exercice red team
Un scénario piloté par des objectifs métier, pas par une liste de vulnérabilités.
- 01
Définition des objectifs
Que cherche-t-on à démontrer ? Accès à une base clients, à un système de paiement, à un environnement industriel : l’objectif détermine tout le reste.
- 02
Reconnaissance
Cartographie de votre exposition réelle : infrastructure, sous-traitants, empreinte des collaborateurs sur les réseaux sociaux et fuites de données publiques.
- 03
Accès initial
Phishing ciblé, exploitation d’un service exposé ou scénario physique convenu. Nous privilégions la voie la plus crédible pour un attaquant réel visant vos objectifs.
- 04
Latéralisation et persistance
Progression vers l’objectif : élévation de privilèges, collecte d’identifiants, mouvement latéral et maintien discret d’un accès dans la durée.
- 05
Débriefing conjoint
Restitution chronologique face à votre équipe de défense : ce qui a été vu, ce qui ne l’a pas été, et à quel moment une détection aurait pu tout arrêter.
Ce que l’exercice révèle
Les enseignements qu’un pentest ne donne pas
Délai réel de détection
Le temps écoulé entre notre première action et la première alerte réellement traitée par votre équipe, mesuré étape par étape sur toute la chaîne d’attaque.
Qualité de la remontée d’alerte
Une alerte générée mais noyée dans le bruit équivaut à une alerte absente. Nous identifions précisément où la chaîne de traitement s’interrompt.
Efficacité des outils déployés
Vos solutions de détection sur les postes et sur le réseau sont confrontées à des techniques réelles, pas à des échantillons de test connus de tous les éditeurs.
Résistance humaine
Campagnes de phishing ciblé et prétexting, menés dans un cadre contractuel strict et restitués de manière agrégée, jamais nominative.
Chemins d’attaque internes
Ce qu’un attaquant obtient réellement à partir d’un seul poste compromis : identifiants en mémoire, partages accessibles, chemins vers l’administration du domaine.
Capacité de réaction
Vos procédures d’endiguement et d’éradication sont éprouvées en conditions réelles, ce qu’aucun exercice sur table ne permet de vérifier réellement.
Cadre réglementaire
Red team et exigences réglementaires
Nous cadrons chaque exercice pour qu’il alimente vos obligations sans les surinterpréter.
DORA et TIBER-EU
DORA impose aux entités financières les plus significatives des tests de pénétration fondés sur la menace (TLPT), inspirés du cadre TIBER-EU et pilotés en France par la Banque de France. Ces tests exigent des prestataires accrédités : nos exercices s’en inspirent méthodologiquement et servent à préparer une organisation avant un TLPT formel.
LPM et opérateurs d’importance vitale
Les OIV soumis à la loi de programmation militaire doivent démontrer une capacité de détection et de réaction, pas seulement des mesures préventives. Un exercice red team documente cette capacité de bout en bout, avec une chronologie horodatée.
NIS2
La directive attend une gestion des incidents éprouvée, incluant des délais de notification tenables. Un exercice red team révèle si votre chaîne d’alerte permet réellement de qualifier un incident dans les délais imposés.
Cadre de l’ANSSI
Les guides de l’ANSSI sur la détection et la réponse aux incidents fournissent une grille utile pour structurer le débriefing et prioriser les améliorations de supervision issues de l’exercice.
Questions fréquentes
Red teaming : ce que demandent les RSSI
À voir également
Combien de temps avant que vous ne nous voyiez ?
Définissons ensemble des objectifs et des règles d’engagement adaptés à votre maturité.
Cadrer un exercice