Un test d’intrusion répond à la question « où sont les failles ». Un exercice de Red Team répond à une question différente : « si quelqu’un vient réellement vous chercher, est-ce que vous le voyez, et que faites-vous ».
La différence n’est pas une question d’intensité, c’est une question de nature. Le test d’intrusion parcourt un périmètre pour le couvrir. Le Red Team poursuit un objectif et choisit son chemin dans les limites autorisées, y compris en renonçant à des failles identifiées parce qu’elles feraient trop de bruit.
À qui cela s’adresse
Aux organisations qui disposent déjà d’une capacité de détection à éprouver : une supervision, un EDR, une équipe ou un prestataire qui surveille. C’est cette capacité qui est mise à l’épreuve, autant que les systèmes.
Une organisation qui n’a pas encore ce niveau de maturité tire davantage d’un test d’intrusion interne, qui recherche les chemins de compromission avec une couverture plus systématique du périmètre convenu.
Ce qui distingue le déroulement
Un objectif dans un périmètre autorisé
L’objectif est écrit au cadrage : atteindre une base de données précise, obtenir un privilège déterminé, accéder à un environnement identifié comme critique. Les actifs autorisés et les actions permises sont définis avant l’exercice. Les chemins suivis pour atteindre l’objectif restent dans ces limites.
Cellule de contrôle restreinte
Seuls quelques interlocuteurs savent que l’exercice a lieu. Les équipes chargées de la détection et de la réaction ne sont pas prévenues — sans quoi ce qui est mesuré n’a plus de rapport avec une situation réelle.
Cette cellule dispose d’un canal direct, disponible pendant toute la durée de l’exercice, et peut l’interrompre à tout moment.
Préparation
C’est ce qui explique l’écart de volume avec un test d’intrusion. Avant la première action offensive : reconnaissance de l’organisation et de son exposition, choix des techniques adaptées au contexte, mise en place de l’infrastructure de commande et de contrôle, préparation des accès initiaux.
Discrétion comme contrainte
Les techniques sont sélectionnées pour leur discrétion autant que pour leur efficacité. Une vulnérabilité exploitable mais bruyante peut être écartée au profit d’un chemin plus lent. C’est précisément ce que fait un attaquant qui a du temps.
Ce qui est mesuré
- Le délai entre la première action offensive et sa détection, lorsqu’elle a lieu.
- Les techniques qui ont déclenché une alerte, et celles qui sont passées.
- La qualification faite par les équipes : alerte traitée, classée, ou ignorée.
- Les actions de réaction engagées, et leur effet réel sur la progression.
- La distance parcourue avant blocage, ou l’atteinte de l’objectif.
Les techniques employées sont qualifiées selon MITRE ATT&CK, ce qui permet de confronter directement le déroulement de l’exercice à votre couverture de détection existante.
Restitution
Le rapport d’exercice décrit les chemins suivis, les constats et une chronologie confrontée : ce qui a été fait, à quel moment, et ce que vos équipes ont vu ou n’ont pas vu au même instant. Il permet de traduire les observations en plan d’amélioration de la détection.
Une séance conjointe avec les équipes de détection est systématiquement proposée à l’issue de l’exercice : rejouer les étapes ensemble produit plus d’effet que la lecture d’un rapport.
Articulation avec les autres prestations
Le Red Team est une prestation autonome, facturée comme telle. Son rapport est centré sur l’objectif de l’exercice et les capacités de détection et de réaction observées. Il ne remplace pas un test d’intrusion : les actifs sont examinés en fonction des chemins suivis, sans rechercher une couverture systématique du périmètre.