Une boîte nous propose un exercice de purple team au lieu d'un pentest : c'est quoi, et en a-t-on besoin ?

Techniquement parlant, la red team attaque et la blue team tente de détecter. La purple team sert d'arbitre ou de protocole de collaboration. L'attaquant teste une technique précise, on regarde si la blue team reçoit le log, et si ce n'est pas le cas, on écrit une règle. Si personne chez vous ne gère activement les logs centralisés et l'EDR, vous ne pourrez jamais intégrer les livrables techniques de cet exercice dans votre infra.

L'année dernière, avec notre équipe de 45 personnes, on a eu le même engouement et on a lâché 14.500 dollars là-dedans. Notre ingénieur système n'a pas pu lever la tête des réunions pendant 10 jours, ce qui a retardé nos mises à jour serveur de routine. Au final, on s'est retrouvés avec des dizaines de recommandations de paramétrage mais aucun temps pour les appliquer. On a été bien soulagés de revenir au test classique.

Ces derniers temps, comme les marges sur les tests de routine ont baissé les boîtes de conseil en sécu gonflent sans cesse leurs factures avec ce genre de concepts. Essayer de vendre un exercice collaboratif à 16.000 dollars à une structure qui n'a que deux personnes sur l'infra ce n'est pas une démarche de conseil honnête. Ils vous ont packagé un service inadapté à vos besoins.

edit : j'ai écrit depuis mon téléphone, désolé pour les fautes.

Pour qu'un exercice de purple team soit rentable, trois conditions sont indispensables : 1) Avoir un collecteur de logs centralisé et un système de détection sur les postes (EDR) en place, 2) Disposer d'au moins une personne à temps plein dédiée à la blue team pour gérer ces outils au quotidien, 3) Avoir déjà comblé toutes les failles de base issues des précédents tests d'intrusion. Sans ça, c'est jeter l'argent par les fenêtres.

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

notre équipe infra de deux personnes va complètement se noyer dans ces réunions. bloquer les admins système pendant deux semaines va paralyser la boîte opérationnellement parlant. restez sur un pentest classique c'est mon conseil.

Écrivez clairement au prestataire : "Nous n'avons pas d'équipe interne dédiée à la cyberdéfense, merci de retirer le volet purple team et de réviser la proposition pour un simple pentest interne et externe." S'ils refusent, tournez-vous vers votre ancien prestataire ou une autre société d'audit indépendante.

C'est un sujet que je ne maîtrise pas trop, mais la blue team ne peut pas être assurée par le prestataire externe qui gère notre support ? bref on ne peut pas les inclure dans ce test ?

Dans les modèles de maturité d'entreprise, le purple team correspond à un stade avancé. De plus, quand la réglementation ou de grands comptes vous demandent un rapport d'audit indépendant, ils attendent un rapport officiel de test d'intrusion plutôt qu'un compte-rendu d'exercice purple team. De ce point de vue aussi, le pentest classique reste la priorité.

Pensez-vous que cela fonctionne à toutes les échelles ? Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

exactement et ce n'est pas si connu que ça puis quadn on décide sans mesurer on revient toujours au même point.

la plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Absolument. Si j'ajoute quelque chose : Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Pourriez-vous préciser un peu ? Tous ceux qui se pressent sur purple team cybersecurite se heurtent au même obstacle.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je vais raconter ce qui m'est arrivé ça pourrait vous servir. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je le note au cas où.

je partage mon expérience... si vous obtenez trois réponses différentes sur un sujeet la question est mal posée.

les environnements de test oublés sont plus souvent des portes d'entrée que les systèmes de production.

Je vais résumer ce qui a été dit jusqu'ici. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Bon courage.

Sujet très actuel.

Je suis intéressé. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Merci beaucoup, je teste dès aujourd'hui.