Qu’est-ce que Red Team ?
Une Red Team est une équipe de sécurité offensive mandatée pour simuler une attaque réaliste contre une organisation, sans que les équipes de défense en soient averties. L’objectif n’est pas de lister un maximum de vulnérabilités, mais d’atteindre un objectif précis : accéder à une base clients, prendre le contrôle de l’annuaire, sortir un fichier sensible.
L’exercice mesure donc deux choses à la fois. La solidité technique du système d’information, et la capacité réelle des équipes à repérer une intrusion en cours et à y répondre. Une red team qui échoue à passer inaperçue produit un résultat aussi utile qu’une red team qui réussit.
Le périmètre dépasse l’informatique. Les scénarios incluent régulièrement l’ingénierie sociale, l’appel téléphonique au support, parfois l’intrusion physique dans les locaux quand le mandat le prévoit.
À quoi sert une Red Team ?
Une Red Team répond à une question que les audits classiques n’abordent pas : combien de temps un attaquant peut-il rester dans le système d’information avant qu’on ne s’en aperçoive.
Le résultat ne se lit donc pas comme une liste de failles, mais comme une chronologie. À quelle heure l’accès initial a-t-il eu lieu, quel outil aurait dû lever une alerte, à quel moment quelqu’un a-t-il réagi, et qu’a-t-il fait ensuite.
Ce que l’exercice met généralement au jour :
- Des règles de détection qui existent mais dont personne ne traite les alertes, noyées dans le bruit du SOC.
- Des chemins d’élévation de privilèges dans l’Active Directory, souvent hérités de comptes de service jamais réexaminés.
- Des procédures de réponse écrites mais jamais répétées, qui s’effondrent au premier appel de nuit.
- Des accès prestataires actifs longtemps après la fin de la mission.
L’exercice n’a d’intérêt qu’à partir d’un certain niveau de maturité. Une organisation sans supervision de sécurité connaît déjà la réponse, et dépensera mieux son budget à installer la détection avant de payer quelqu’un pour prouver qu’elle manque.
Comment se déroule une mission Red Team ?
Tout commence par les règles d’engagement, un document qui fixe ce qui est autorisé : systèmes hors périmètre, horaires, interdiction de toucher à la production, conditions d’arrêt immédiat. Il précise aussi qui, côté client, sait que l’exercice a lieu.
Une lettre d’autorisation signée par la direction accompagne les opérateurs. Sans elle, les mêmes actions relèvent de l’intrusion dans un système de traitement automatisé de données, pénalement réprimée par le code pénal français.
La mission suit ensuite un enchaînement classique :
- Collecter des informations sur la cible (nom, structure, outils utilisés, habitudes des employés)
- Identifier les points d’entrée possibles (sites web, messagerie, réseaux internes)
- Exploiter une vulnérabilité pour établir un accès initial
- Escalader les privilèges pour obtenir un contrôle plus large
- Maintenir un accès discret et poursuivre l’exploration
- Documenter toutes les étapes et les failles découvertes
Les actions restent non destructives : l’équipe démontre qu’elle aurait pu exfiltrer une base clients, elle ne l’exfiltre pas réellement. Un fichier témoin déposé au bon endroit fait office de preuve.
La mission se conclut par une restitution conjointe avec les défenseurs, souvent la partie la plus utile de l’exercice. On y rejoue la chronologie côté attaquant en face des journaux côté défense, pour identifier précisément ce qui aurait pu déclencher une alerte et ne l’a pas fait.
Red Team ou pentest : quelle différence ?
Un pentest couvre un périmètre annoncé sur une durée courte et cherche le plus grand nombre de failles exploitables. Les équipes de défense sont prévenues. La red team vise un objectif unique, sur plusieurs semaines, et cherche avant tout à ne pas être détectée.
Autre différence de fond : le livrable. Un rapport de pentest liste des vulnérabilités et leur criticité. Un rapport de red team raconte un scénario, indique à quel moment la détection aurait dû se déclencher et pourquoi elle ne l’a pas fait.
Red team, blue team, purple team : qui fait quoi
- Red team : attaque, reproduit les techniques d’adversaires réels, souvent en s’appuyant sur la matrice MITRE ATT&CK pour couvrir un éventail de tactiques documentées.
- Blue team : défend au quotidien. Supervision du SOC, détection, réponse à incident, durcissement des configurations.
- Purple team : format collaboratif où attaquants et défenseurs travaillent ensemble, technique par technique, pour vérifier ce que la détection voit et l’améliorer immédiatement. Ce n’est pas une équipe permanente mais une manière de conduire l’exercice.
- White team : le petit groupe informé de l’exercice côté client. Il arbitre, arrête la mission si nécessaire et évite qu’une intrusion simulée déclenche une procédure de crise réelle.
Beaucoup d’organisations passent directement au purple team, plus rentable quand la maturité de détection est faible : une red team classique se contentera alors de démontrer que rien n’est détecté, ce que l’on savait déjà.
Un exercice de plus en plus encadré
Dans le secteur financier européen, ces exercices sortent du volontariat. Le cadre TIBER-EU, publié par la Banque centrale européenne, définit une méthode de red teaming fondée sur le renseignement sur la menace. Le règlement DORA impose aux entités financières les plus critiques des tests de pénétration fondés sur la menace, conduits selon une logique proche.
Concrètement, cela suppose une phase préalable de threat intelligence pour identifier quels attaquants ciblent réellement le secteur, puis la reproduction de leurs modes opératoires plutôt que d’un scénario générique.
Exemples ou cas d’usage concrets
Une banque mandate une Red Team avec un objectif unique : atteindre la base clients. L’accès initial passe par un courriel ciblé vers trois personnes du service achats. Le SOC voit passer l’alerte le troisième jour, la classe en faux positif, et l’équipe met encore onze jours à atteindre son objectif. Le rapport porte moins sur le phishing que sur la procédure de tri des alertes.
Un groupe industriel fait tester un site de production. L’entrée se fait par un équipement de maintenance connecté au réseau bureautique et à l’atelier. La Red Team découvre au passage des comptes prestataires actifs deux ans après la fin du contrat.
Un cabinet de conseil demande un scénario d’ingénierie sociale visant les équipes RH, particulièrement exposées parce que recevoir des pièces jointes d’inconnus fait partie de leur travail quotidien. L’exercice mesure moins le taux de clic que le délai entre le premier clic et le premier signalement.
Quels profils composent une Red Team ?
Une red team réunit rarement des généralistes. Les missions se répartissent entre plusieurs spécialités.
- Red team operator : conduit l’intrusion, maîtrise l’Active Directory, l’élévation de privilèges et les frameworks de commande et contrôle.
- Analyste threat intelligence : identifie les groupes d’attaquants pertinents pour le secteur et documente leurs modes opératoires.
- Développeur offensif : adapte ou écrit les outils, contourne les solutions de détection sur les postes de travail.
- Spécialiste ingénierie sociale : construit les prétextes, les campagnes de phishing ciblées et, selon le mandat, les intrusions physiques.
Certifications fréquemment demandées : OSEP et CRTO pour l’opérationnel, les schémas CREST côté prestataires européens. En France, ces profils sont peu nombreux et concentrés dans quelques cabinets spécialisés et grands groupes, ce qui explique des délais de recrutement longs et une forte concurrence sur les salaires.
Côté entreprise, monter une red team interne suppose un volume d’activité suffisant. En dessous, le recours à un prestataire, avec une équipe interne dédiée à la détection, donne un meilleur retour sur investissement.