Plan d'émulation d'adversaire

Définition

Le plan d'émulation d'adversaire désigne le document structurant préparé en amont d'un exercice de red team ou de purple team, décrivant précisément le groupe d'attaquant réel dont le comportement doit être reproduit, les techniques et procédures spécifiques associées à ce groupe telles que documentées par le renseignement sur les menaces, et la séquence chronologique dans laquelle ces techniques seront simulées durant l'exercice, depuis l'accès initial jusqu'aux objectifs finaux de la mission. Contrairement à un test d'intrusion classique où l'opérateur choisit librement ses techniques en fonction des vulnérabilités découvertes, l'émulation d'adversaire impose une contrainte méthodologique forte : reproduire fidèlement les tactiques d'un profil de menace réaliste et pertinent pour le secteur d'activité de l'organisation testée, afin d'évaluer la capacité de détection et de réponse face à une menace concrète et documentée plutôt que face à un scénario générique. Des référentiels publics comme les plans d'émulation du MITRE Center for Threat-Informed Defense fournissent des modèles réutilisables associés à des groupes d'attaquants spécifiques largement documentés. Pour les équipes défensives, disposer du plan d'émulation en amont, généralement dans le cadre d'un exercice purple team collaboratif plutôt qu'un red team totalement opaque, permet de préparer une grille de couverture de détection technique par technique et de mesurer objectivement, à l'issue de l'exercice, les angles morts réels de la chaîne de détection face à ce profil de menace précis.