Threat-Led Penetration Testing TLPT

conformite

Définition

Le Threat-Led Penetration Testing (TLPT), également connu sous le nom de TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) dans sa version européenne, est un cadre de tests de pénétration avancés basé sur la threat intelligence réelle, conçu pour évaluer la résilience des entités financières face à des cyberattaques sophistiquées. DORA (article 26) impose la réalisation de TLPT aux entités financières les plus importantes au moins tous les trois ans. Contrairement aux tests de pénétration classiques qui évaluent la conformité technique aux contrôles de sécurité, le TLPT simule des attaquants réels utilisant des tactiques, techniques et procédures (TTP) basées sur la threat intelligence spécifique au secteur financier. Une équipe Red Team externe (l'équipe d'attaquants) cherche à compromettre les fonctions critiques de l'entité en utilisant des vecteurs d'attaque réalistes, tandis qu'une équipe White Team (la direction et le RSSI) coordonne le test. Le TLPT se déroule en trois phases principales. La phase de préparation implique la désignation du fournisseur de threat intelligence (CTIP, Cyber Threat Intelligence Provider) et de la red team, la définition du périmètre (fonctions critiques visées), et la collecte d'informations sur les menaces réelles pesant sur l'entité. La phase de test comprend la planification de la campagne d'attaque basée sur la threat intelligence, l'exécution de la red team (plusieurs mois dans les cas les plus complets), et le reporting. La phase de clôture inclut le retour d'expérience, les actions correctives, et la validation de l'autorité compétente. DORA impose que les résultats des TLPT soient partagés avec les autorités compétentes nationales et, pour les prestataires ICT critiques couverts par le test, éventuellement avec leurs propres régulateurs. Ce partage transfrontalier est facilité par le cadre TIBER-EU de la BCE. En France, le TLPT est supervisé par l'ACPR (banques, assurances) et l'AMF (marchés financiers), qui définissent les prestataires de red team et de CTI autorisés, et valident les rapports de test.

Fondements et portée du TLPT selon DORA

L'article 26 de DORA impose aux entités financières significatives la réalisation de TLPT (Threat-Led Penetration Testing) au moins tous les trois ans. Ces tests, basés sur la threat intelligence réelle spécifique à l'entité et au secteur, visent à évaluer la résilience face à des attaquants sophistiqués (APT, groupes cybercriminels) utilisant des TTP réalistes.

Le TLPT est distinct des tests de pénétration classiques : il simule une attaque complète sur les fonctions critiques désignées, en utilisant les vecteurs et méthodes des menaces réelles identifiées par le renseignement. Seul un cercle restreint (White Team, haute direction, RSSI) est informé du test ; les équipes de défense (Blue Team, SOC) ne savent pas qu'un test est en cours, ce qui permet d'évaluer les capacités de détection réelles.

Processus TIBER-EU en pratique

Le cadre TIBER-EU (BCE, 2018, révisé 2022) structure le TLPT en trois phases : Preparation (désignation de la White Team, sélection des fournisseurs CTI et Red Team, définition du scope et des fonctions critiques, obtention des autorisations légales), Test (rapport de threat intelligence par le CTI provider, plan d'attaque Red Team basé sur le renseignement, exécution de l'attaque sur plusieurs mois, Blue Team Response), et Closure (Purple Team exercise, rapport de test, plan de remédiation, validation par l'autorité compétente).

Le Purple Team Exercise est la phase de clôture où Red et Blue Teams se réunissent pour partager leurs observations : l'équipe Red révèle les attaques tentées, l'équipe Blue révèle ce qu'elle a détecté ou non. Ce partage est l'occasion d'apprentissage le plus précieux pour améliorer la détection et la réponse.

Reconnaissance croisée et partage

DORA prévoit la reconnaissance croisée des TLPT : si une entité financière a réalisé un TLPT dans un État membre, les autorités d'autres États membres peuvent reconnaître ce test pour leurs propres exigences DORA, évitant des tests redondants pour les groupes transfrontaliers. Ce mécanisme facilite la coopération transfrontalière et réduit la charge pour les entités systémiques.

Les rapports TLPT sont confidentiels mais doivent être partagés avec les autorités compétentes. Pour les tests impliquant des prestataires ICT tiers, les résultats pertinents doivent être communiqués à ces prestataires pour qu'ils puissent mettre en œuvre les corrections nécessaires. Ce partage doit être encadré contractuellement.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis