Assumed breach

Définition

L'assumed breach désigne une approche méthodologique d'exercice red team dans laquelle l'équipe offensive démarre directement avec un accès initial déjà établi au sein du réseau interne de l'organisation, un compte utilisateur valide ou un poste compromis simulé, plutôt que de consacrer un temps significatif de la mission à tenter de franchir le périmètre externe. Cette approche part du postulat réaliste qu'un attaquant suffisamment déterminé finira statistiquement par obtenir un accès initial d'une manière ou d'une autre, que ce soit par phishing, par exploitation d'une vulnérabilité ou par ingénierie sociale, rendant le franchissement du périmètre externe moins instructif qu'une analyse approfondie de ce qui se passe réellement après cette compromission initiale : capacité de détection du mouvement latéral, efficacité de la segmentation interne, temps de réaction de l'équipe de sécurité opérationnelle. L'assumed breach permet ainsi de concentrer le budget limité d'un exercice red team sur les phases post-compromission les plus révélatrices de la maturité défensive réelle de l'organisation, plutôt que sur la démonstration répétée qu'un périmètre externe reste franchissable. Pour les équipes défensives, cette approche produit des enseignements directement exploitables sur la détection des mouvements latéraux, l'efficacité de la segmentation réseau et la rapidité de la chaîne de réponse à incident, des dimensions souvent insuffisamment testées lorsque l'essentiel du temps de mission est consommé par la seule reconnaissance externe.