On a deux devis : un test d'intrusion normal et un exercice red team à trois fois le prix — la différence vaut-elle ce fric ?

Le but du red team n'est pas seulement d'entrer, mais de mesurer la capacité de détection de la blue team (défense). Si les logs SIEM ou EDR centralisés ne sont pas collectés sur votre réseau, l'exercice perd tout son sens. Le test d'intrusion donne pour l'instant des résultats bien plus concrets pour fermer les failles au niveau du code de votre logiciel.

nous on s'est chauffés y a deux ans on a pris une red team. les mecs ont envoyé un faux mail de livraison au stagiaire de la boîte pour s'introduire et après ils ont pondu un rapport de 40 pages et ciao. on a eu l'impression de cramer 50 mille sar pour rien, fallait d'abord combler les failles basiques.

Pour une plateforme avec 300 grossistes, un pentest standard fait remonter en moyenne entre 8 et 12 vulnérabilités moyennes à critiques. Lors de notre test autour de 25.000 SAR, on a repéré 3 failles critiques d'élévation de privilèges et on les a patchées en deux semaines. L'argent qu'on aurait mis dans une red team a été investi dans l'infrastructure.

Votre décision devrait être très simple : optez pour le pentest à 25.000 SAR, et ajoutez-y un outil annuel de sensibilisation et de simulations de phishing pour les employés à 5.000-10.000 SAR. L'ingénierie sociale que la red team testerait, vous la testez vous-mêmes en interne pour bien moins cher.

Les boîtes utilisent l'étiquette « red team » comme un argument marketing tape-à-l'œil pour faire flamber les prix. Sur les 4 semaines annoncées, 3 sont de toute façon de la veille passive et de la reconnaissance. Pour des PME, ça s'apparente la plupart du temps à du pur luxe.

Si vous avez une équipe de 15 personnes, un exercice de red team va juste créer une paranoïa inutile au bureau tout le monde va se regarder de travers. Sécurisez d'abord votre code et vos serveurs. bref rien ne sert de tester le détecteur dans le jardin si la porte d'entrée n'est même pas fermée à clé.

Payer 75.000 SAR à un cambrioleur pour lui dire « voyons voir si tu arrives à t'infiltrer discrètement » alors qu'on n'a ni alarme ni vigile, c'est vraiment une gestion de budget de génie. C'est du gâchis d'argent juste pour constater qu'ils vont entrer parce que la porte était grande ouverte.

Mais est-ce qu'il y a une clause explicite du genre « exercice de red team obligatoire » dans vos contrats avec vos clients B2B ou dans les intégrations d'établissements de paiement auxquelles vous êtes soumis ou est-ce qu'on vous demande juste un rapport d'audit général ?

Comment avez-vous résolu ce point ? Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Tous ceux qui se pressent sur red team cybersécurité se heurtent au même obstacle. Bien sûr, cela change si votre situation est différente.

Il est rare de trouver un texte qui explique les choses aussi clairement.

merci de partagre le résultat.

Je suis du même avis. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je suis aussi curieux de savoir si d'autres font autrement.

Enregistré.

Le point le plus souvent négligé concernant red team cybersécurité est : Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Corrigez-moi si je me trompe.

Je me permets une petite mise en garde. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Trois avis différents sont sortis, ils se complètent tous. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Vous avez raison. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Corrigez-moi si je me trompe.

Je suis d'accord, j'aimerais même souligner ce point. du coup si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Si vous avez des questions écrivez-moi je répondrai au mieux.