Missions de la red team
Une mission de « red team » n’est pas un scan de vulnérabilités sous un autre nom. Il s’agit d’une tentative visant à atteindre un objectif spécifique et réaliste — accéder à un système particulier, exfiltrer un type de données précis, prouver qu’un contrôle donné échouerait effectivement sous une pression réelle — en utilisant toute combinaison d’exploitations techniques, d’ingénierie sociale et d’accès physique qu’un adversaire réel serait raisonnablement susceptible d’employer. L’objectif n’est pas d’établir une longue liste de constatations ; il s’agit d’apporter une réponse honnête à la question suivante : « Si quelqu’un voulait vraiment s’en emparer, le pourrait-il ? »
En quoi cela diffère-t-il d’un test d’intrusion ?
Un test d’intrusion cherche généralement à déterminer « quelles vulnérabilités existent dans ce système ». Une mission de « red team » cherche à savoir « si un attaquant motivé peut atteindre cet objectif spécifique », et ce changement de perspective modifie radicalement le déroulement de la mission. Elle peut débuter par un e-mail de hameçonnage adressé à un employé plutôt que par une attaque technique directe contre un serveur. Elle peut consister à appeler le service d’assistance et à tenter d’obtenir une réinitialisation de mot de passe par le biais de l’ingénierie sociale. Elle met en évidence les failles entre vos contrôles de sécurité — les points où une règle de pare-feu techniquement solide est contournée par une personne qui cherche à se montrer serviable, ou encore où un contrôle technique rigoureux comporte une faille de processus que personne n’avait envisagée comme une voie d’attaque.
Comment je mène une mission
Je commence par convenir avec vous d’objectifs clairs et de règles d’engagement, car un exercice de « red team » sans périmètre ni limites définis est imprudent et irréaliste. À partir de là, je mène l’intervention comme le ferait un véritable adversaire — reconnaissance, accès initial, escalade et progression vers l’objectif — en documentant chaque étape, y compris celles qui ont échoué, car savoir ce qui m’a arrêté est tout aussi précieux que de savoir ce qui a fonctionné. À l’issue de l’exercice, vous obtenez un compte rendu clair de ce qui a fonctionné, de ce que votre équipe ou vos contrôles ont détecté en cours de route, et plus précisément des points à corriger, classés par ordre de priorité en fonction de ce qui importe réellement plutôt que selon un score de gravité générique.
Je fais également le point directement avec votre équipe de défense lorsque cela s’avère utile, car l’objectif d’un exercice de type « red team » est d’améliorer véritablement vos capacités de détection et de réaction, et non pas simplement de démontrer une hypothèse.
À qui s'adresse ce document ?
Les organisations disposant d’un programme de sécurité suffisamment abouti pour qu’un test d’intrusion standard ne leur apporte aucune information nouvelle, les entreprises qui souhaitent vérifier si leurs systèmes de détection et de réaction fonctionnent réellement face à une attaque réaliste, et toute personne ayant besoin d’un véritable test de résistance avant de miser l’avenir de son entreprise sur ses défenses actuelles.
Si vous êtes prêt à découvrir ce qui fait réellement la différence, contactez-moi.