Red Team / Blue Team

Définition

L'approche Red Team / Blue Team oppose deux équipes de sécurité aux rôles complémentaires pour évaluer de manière réaliste la posture de sécurité globale d'une organisation. La Red Team adopte une posture offensive en simulant des attaques réalistes contre le système d'information, en s'appuyant sur les tactiques, techniques et procédures documentées de véritables groupes d'attaquants, souvent modélisées à partir de la matrice MITRE ATT&CK, avec pour objectif d'atteindre des cibles spécifiques définies en amont, comme l'exfiltration simulée d'un jeu de données sensible ou la prise de contrôle du contrôleur de domaine, sans nécessairement chercher à exploiter toutes les vulnérabilités identifiées au passage. La Blue Team, en miroir, assure la défense en temps réel du système d'information à travers la surveillance SOC, la détection et la réponse aux activités suspectes générées par les actions de la Red Team, sans connaître à l'avance le scénario exact de l'exercice, condition indispensable pour mesurer objectivement le temps réel de détection et d'endiguement d'une intrusion. Contrairement à un pentest classique focalisé sur l'exhaustivité de la découverte de vulnérabilités, l'exercice Red Team / Blue Team évalue prioritairement les capacités de détection et de réaction opérationnelles de l'organisation dans des conditions proches du réel, souvent conclu par un débriefing conjoint alimentant l'amélioration continue des deux équipes.