Red team vs pentest : quelle différence, et lequel choisir ?

Les deux termes reviennent souvent dans les discussions cyber, parfois utilisés comme synonymes. Ils ne le sont pas. Un pentest et une mission red team répondent à des questions différentes, impliquent des méthodes différentes, et s'adressent à des niveaux de maturité différents. Savoir lequel convient à votre situation vous évitera de payer pour le mauvais exercice.

Ce qu'est un pentest

Un pentest (test de pénétration) est un exercice ciblé dont l'objectif est de trouver le maximum de vulnérabilités sur un périmètre défini. Le périmètre est connu à l'avance : une application web, une API, une infrastructure réseau, une application mobile. Le pentesteur cherche des failles exploitables, les documente avec des preuves, et restitue un rapport avec des recommandations de correction.

Le pentest ne se préoccupe pas de savoir si votre équipe de sécurité l'a détecté. L'objectif est la couverture de surface, pas la simulation d'un scénario d'attaque réaliste de bout en bout. Il peut être conduit en boite noire, grise ou blanche selon le niveau d'information fourni.

Ce qu'est une mission red team

Une mission red team est une simulation d'attaque réaliste de bout en bout, calquée sur le comportement d'un adversaire réel. L'équipe rouge (les attaquants) a pour objectif d'atteindre un objectif précis (accéder à des données sensibles, prendre le contrôle d'un serveur critique, démontrer une exfiltration) en utilisant tous les vecteurs disponibles : logique (vulnérabilités techniques), physique (intrusion dans les locaux, badges, USB), et humain (phishing ciblé, vishing, pretexting).

La blue team (votre équipe de sécurité opérationnelle, SOC ou MSSP) n'est généralement pas informée de la mission. L'exercice teste non seulement les vulnérabilités techniques, mais aussi votre capacité à détecter une attaque et à y répondre. Le résultat est mesuré en temps de détection, en qualité de la réponse, et en profondeur de pénétration atteinte.

Les différences clés

• Objectif : Le pentest cherche des vulnérabilités. La red team teste la détection et la réponse à incident.
• Périmètre : Le pentest a un périmètre technique borné. La red team a un objectif à atteindre, pas de périmètre fixe.
• Vecteurs : Le pentest est principalement technique. La red team intègre technique, physique et humain.
• Durée : Un pentest dure 1 à 5 jours. Une red team dure en général de 2 semaines à plusieurs mois.
• Blue team : Le pentest n'implique pas la blue team. La red team la teste directement.
• Maturité requise : Le pentest convient dès le premier exercice. La red team nécessite une base de sécurité établie pour que les résultats aient du sens.

Lequel choisir selon votre maturité

Si c'est le premier exercice de sécurité sérieux de votre organisation, commencez par un pentest. La red team n'a de valeur que si vous avez déjà des défenses à tester. Faire une red team avant d'avoir des vulnérabilités de base corrigées, c'est mesurer la détection d'un incendie dans une maison sans alarme.

Un pentest donne de la valeur à partir du niveau 1 de maturité. Une red team commence à avoir du sens à partir du niveau 3 : des défenses en place, un SOC ou une surveillance active, une base de correctifs déjà appliqués. En dessous de ce seuil, une red team est coûteuse et son résultat est prévisible.

Faire une red team sans avoir fait de pentest, c'est rénover la cuisine avant de réparer la toiture.

Et le purple team ?

Un exercice purple team est une variante collaborative : la red team et la blue team travaillent ensemble, en visibilité mutuelle. L'objectif n'est plus de tester si la blue team détecte à l'aveugle, mais d'améliorer conjointement les capacités de détection et de réponse. C'est une approche adaptée aux organisations qui ont déjà un SOC mature et qui veulent l'optimiser plutôt que l'évaluer.

Dans la pratique, l'adversary simulation MITRE ATT&CK s'inscrit dans cette logique : les TTPs (Tactics, Techniques, Procedures) d'un groupe APT réel sont émulées, et la blue team mesure sa couverture de détection technique par technique.