Les principes du red teaming : simuler un adversaire

Un test d'intrusion répond à la question « quelles failles existent ? ». Un exercice de red team répond à une autre : « si un adversaire réaliste s'en prenait à nous, atteindrait-il son but, et nous en apercevrions-nous ? ». La différence est d'objectif, pas de technique. Cette leçon explique ce qu'est le red teaming, comment il se distingue du pentest et pourquoi, pour être légitime, il repose sur un cadre contractuel strict.

Dans le chapitre précédent, vous avez écrit des scripts pour traiter des données. Nous changeons maintenant de point de vue : nous regardons comment les équipes s'organisent autour de l'attaque et de la défense. Le fil rouge reste votre portfolio : à la fin du chapitre, vous aurez rédigé la fiche de préparation d'un exercice de simulation, dans un laboratoire fictif.

Pentest et red team : deux questions différentes

Imaginez un bâtiment à protéger. Le test d'intrusion ressemble à un contrôle de sécurité : un expert fait le tour, vérifie chaque porte et chaque fenêtre, et dresse la liste de ce qui ferme mal. La recherche est large, les équipes de sécurité sont généralement prévenues, et le résultat est une liste de vulnérabilités à corriger.

Le red team ressemble à un exercice de crise grandeur nature : une équipe se voit confier un objectif précis (par exemple « accéder au dossier des projets confidentiels ») et tente de l'atteindre comme le ferait un vrai adversaire, avec patience et discrétion. On ne mesure pas seulement les failles, mais aussi la capacité de détection et de réaction de l'organisation.

Aucun des deux n'est « meilleur » : ils répondent à des niveaux de maturité différents. Une organisation qui n'a pas corrigé ses vulnérabilités de base tirera bien plus profit d'un pentest. Le red team vient ensuite, quand les bases sont solides et que l'on veut éprouver l'ensemble : technologies, procédures et personnes.

Partir d'un objectif et d'un adversaire réaliste

Un bon exercice commence par deux choix :

• Les objectifs, souvent appelés « joyaux de la couronne » : les actifs dont la compromission aurait le plus d'impact (base de clients, systèmes de production, messagerie de la direction). Ils sont décidés avec la direction, pas par l'équipe offensive seule.
• L'adversaire à imiter : on s'appuie sur la connaissance de la menace (le renseignement sur les attaquants qui visent le secteur) pour choisir des comportements réalistes. Le framework MITRE ATT&CK (attack.mitre.org), étudié au chapitre 4, sert de catalogue commun pour décrire ces comportements.

Cette démarche évite deux écueils : l'exercice « spectacle » qui n'a aucun rapport avec les risques réels, et le catalogue de techniques cochées sans objectif.

Les règles d'engagement

Le document le plus important d'un exercice n'est pas technique : ce sont les règles d'engagement (rules of engagement). Elles précisent notamment :

• les objectifs et le périmètre : ce qui est ciblé, et ce qui ne doit jamais l'être (systèmes vitaux, données de santé, systèmes tiers…) ;
• les techniques autorisées et interdites : par exemple, aucune action destructrice, pas de déni de service, pas de test sur les proches des employés ;
• la période et les horaires ;
• les personnes de contact et les procédures d'urgence : qui contacter, comment arrêter l'exercice immédiatement si un risque réel apparaît ;
• la gestion des données : ce qui est collecté, comment c'est protégé, quand c'est détruit ;
• la confidentialité de l'exercice et du rapport.

On y joint souvent une lettre d'autorisation que l'équipe peut présenter en cas d'interpellation (par exemple lors d'un test d'accès physique). Elle prouve que l'activité est légitime.

Une organisation en trois cellules

Pour que l'exercice reste sûr, on distingue en général :

• le red team : l'équipe qui simule l'adversaire ;
• le blue team : les défenseurs, qui, idéalement, ne savent rien de l'exercice (c'est ce qui permet de tester leur réaction réelle) ;
• la cellule de contrôle (parfois appelée white team), composée d'un petit nombre de personnes informées : elle supervise, arbitre, peut suspendre l'exercice et fait le lien avec la direction. C'est elle qui évite qu'un exercice ne dégénère en incident.

Un déroulé typique

1. Cadrage : objectifs, adversaire à imiter, règles d'engagement, signatures.
2. Préparation : recherche d'informations, plan d'action, outils validés.
3. Exécution : l'équipe progresse par étapes (accès initial, progression interne, atteinte de l'objectif), en consignant chaque action avec l'heure.
4. Restitution : le récit complet de l'attaque, mis en regard des alertes reçues par la blue team : qu'a-t-elle vu, quand, qu'a-t-elle fait ?
5. Retour d'expérience : plan d'amélioration, et idéalement, ateliers conjoints (c'est l'objet de la leçon sur la purple team).

Remarquez l'importance de la traçabilité : sans journal horodaté des actions, il est impossible de comparer l'attaque et la détection. Cette discipline de notes, déjà évoquée à propos des audits, est une compétence de base que vous pouvez travailler dès aujourd'hui dans votre laboratoire.

Ce que le red team n'est pas

• Ce n'est pas un concours pour « battre » la défense : l'objectif est de faire progresser l'organisation.
• Ce n'est pas un feu vert pour tout faire : l'éthique et le périmètre s'imposent, y compris face aux personnes (pas d'intimidation, pas d'atteinte à la vie privée).
• Ce n'est pas réservé aux grandes organisations : à petite échelle, un exercice simple et bien cadré apporte beaucoup.

À vous de jouer

Pour l'entreprise fictive Atelier Boréal (PME de menuiserie industrielle, 120 salariés, une messagerie, un serveur de fichiers, un logiciel de devis), rédigez en cinq lignes :

1. deux « joyaux » que la direction voudrait protéger ;
2. un objectif d'exercice formulé comme « atteindre … sans être détecté » ;
3. deux actions strictement interdites dans les règles d'engagement ;
4. le nom de la personne (ou du rôle) qui peut arrêter l'exercice.