BAS (Breach and Attack Simulation)

Définition

Le BAS (Breach and Attack Simulation) désigne une catégorie d'outils qui rejouent automatiquement et en continu des attaques réelles au sein du système d'information afin de mesurer l'efficacité effective des contrôles de sécurité déjà déployés. Là où un test d'intrusion fournit une photographie ponctuelle, le BAS produit un film : les scénarios offensifs sont exécutés quotidiennement ou hebdomadairement, sans impact opérationnel, et donnent un indicateur chiffré de la capacité du EDR, du pare-feu, de la passerelle mail, du proxy web ou du SIEM à prévenir, détecter et alerter.

Les principaux acteurs du marché sont Cymulate, AttackIQ, SafeBreach, Picus Security et Pentera, auxquels s'ajoutent des projets open source comme Atomic Red Team, Caldera (MITRE) ou Infection Monkey. Le BAS constitue aujourd'hui l'un des piliers du CTEM (Continuous Threat Exposure Management), le cadre de gestion continue de l'exposition aux menaces.

Fonctionnement technique

Un déploiement BAS repose généralement sur trois composants :

• Des agents ou simulateurs installés sur des postes et serveurs représentatifs de chaque zone du réseau (poste utilisateur, serveur métier, DMZ, contrôleur de domaine de laboratoire). Ils jouent alternativement le rôle d'attaquant et de victime.
• Une bibliothèque de scénarios alignée sur le référentiel MITRE ATT&CK, mise à jour en continu à partir de la threat intelligence : nouvelles techniques d'un groupe ransomware, exploitation d'une CVE récente, mode opératoire d'un acteur étatique.
• Un moteur d'analyse et de restitution qui corrèle le résultat de la simulation avec les journaux du SIEM et les alertes de l'EDR pour déterminer si l'action a été bloquée, détectée sans blocage, ou totalement passée sous les radars.

Le point clé est l'innocuité. Les payloads utilisés sont inertes : au lieu de chiffrer réellement des fichiers, le simulateur écrit et lit des fichiers de test dans un répertoire dédié ; au lieu d'exfiltrer des données clients, il transmet des chaînes factices reproduisant le format d'un numéro de carte bancaire ou d'un IBAN. Les binaires malveillants sont déposés dans des dossiers isolés puis supprimés. C'est cette maîtrise du rayon d'action qui autorise l'exécution en production, y compris sur des environnements sensibles.

Exemples concrets de scénarios

• Vecteur mail : envoi vers une boîte de test d'une centaine de pièces jointes correspondant à des familles de malwares connues, avec macros, conteneurs ISO ou LNK. Le rapport indique le pourcentage réellement filtré par la passerelle.
• Endpoint : exécution de techniques ATT&CK telles que T1003.001 (dump de LSASS), T1547 (persistance par clé de registre) ou T1055 (injection de processus) pour éprouver l'EDR.
• Mouvement latéral : tentatives de Pass-the-Hash, Kerberoasting ou abus de délégation dans l'Active Directory, afin de valider la segmentation et le durcissement du tiering.
• Exfiltration : sortie de données factices via DNS, HTTPS ou services de partage cloud pour tester le DLP et le filtrage sortant.
• Simulation ransomware complète : chaîne bout-en-bout depuis le phishing jusqu'à la suppression des clichés instantanés (vssadmin delete shadows), sans chiffrement réel.

Articulation avec les autres pratiques

Le BAS ne remplace ni le pentest ni le Red Team : il ne fait pas preuve de créativité, ne découvre pas de vulnérabilité logique métier et ne teste pas la réaction humaine face à un adversaire imprévisible. En revanche, il automatise la partie répétitive et permet aux équipes offensives de se concentrer sur les scénarios à forte valeur ajoutée. Il complète également la gestion des vulnérabilités : le scanner dit ce qui est théoriquement vulnérable, le BAS dit ce qui est réellement exploitable compte tenu des contrôles compensatoires en place. Enfin, il alimente directement la détection engineering en révélant les angles morts du SIEM et en mesurant, technique par technique, la couverture de détection réelle.

Bonnes pratiques

• Commencer par un périmètre restreint — un segment, un type de poste — et élargir progressivement plutôt que de déployer des agents partout d'emblée.
• Informer le SOC et étiqueter les simulations, afin d'éviter la fatigue d'alerte et les déclenchements de cellule de crise inutiles. Certaines organisations laissent volontairement le SOC dans l'ignorance une à deux fois par an pour éprouver le processus de réponse.
• Traiter les résultats comme un backlog : chaque technique non détectée doit donner lieu à une règle de corrélation, un durcissement de politique EDR ou une exception documentée.
• Suivre l'évolution dans le temps plutôt que le score absolu. Un taux de prévention passant de 45 % à 78 % en six mois est un indicateur bien plus parlant qu'une note isolée.
• Prioriser selon la menace réelle : simuler en priorité les modes opératoires des groupes actifs sur votre secteur d'activité et votre zone géographique.

Correctement exploité, le BAS transforme la posture de sécurité d'une déclaration d'intention en une mesure vérifiable, exigence de plus en plus présente dans les référentiels réglementaires comme NIS 2 ou DORA, qui imposent une évaluation régulière de l'efficacité des mesures techniques.