On nous propose un exercice de Red Team — c'est quoi, et quelle différence avec un pentest à notre échelle ?

Le pentest s'apparente à un inventaire : il scanne les ports, les services, trouve les erreurs de code et vous les liste pour correction. La red team cherche avant tout la discrétion. Elle avance pas à pas sans déclencher les alertes de vos pare-feu ou antivirus. Si personne en interne n'analyse les logs via un SIEM ou une veille active, personne ne verra l'attaque et le test perd tout son sens.

L'année dernière, pris d'un même enthousiasme, on a payé 210.000 TL pour une red team sur notre infra e-commerce de 80 personnes. Résultat ? Un employé a cliqué sur un faux mail de suivi de colis, et ils ont récupéré les droits admin sur le domaine. 80 % du rapport préconisait juste de la sensibilisation de base et une restriction des privilèges. Avec le recul, on aurait mieux fait d'utiliser cet argent pour blinder les sauvegardes et isoler nos serveurs.

On dirait surtout un commercial qui essaie de boucler ses objectifs. Gardez votre budget actuel pour élargir le périmètre de votre pentest annuel, par exemple en y ajoutant une analyse de code source ou un test de sécurité des API. Passer direct de 65.000 TL à 260.000 TL n'a aucun sens pour votre structure.

Quel est le scénario proposé par le prestataire ? Combien de semaines d'intervention prévoient-ils, et le périmètre est-il purement digital ou inclut-il de l'ingénierie sociale (intrusion physique dans les bureaux, appels téléphoniques piégés) ? Ces éléments changent énormément la facture finale.

Pour qu'une entreprise soit mûre pour une red team, trois conditions doivent être réunies : 1) Les pentests réguliers ne remontent plus de failles critiques ou majeures, 2) Une structure active de logs/alertes surveille le réseau 24/7, 3) Un plan de réponse à incident testé et validé est en place pour savoir qui fait quoi en cas d'attaque.

ils avaient fait pareil dans mon ancienne boite, qqun s'est fait passer pour le dg par mail et la compta a filé les mdp direct. genre franchement pas besoin de lacher 250k pour comprendre ca.

Les marges sur les pentests baissent, du coup les cabinets de conseil poussent des offres clinquantes de red team ou purple team. Mais s'il n'y a pas d'équipe défensive en face, contre qui ils jouent ? Ils vont juste marquer dans un but vide et vous facturer le rapport.

Gardez vos sous. Pour le quart de ce montant, payez à vos devs une vraie formation au dev sécurisé et utilisez le reste pour mettre à jour vos outils de scan de vulnérabilités. Même une simple session de sensibilisation en interne vous apportera plus que ce rapport.

Il y a un point auquel il faut faire attention. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. Bon courage.

Désolé, mais ce n'est pas vrai dans tous les cas. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Corrigez-moi si je me trompe.

Je partage mon expérience. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Mes doutes sont levés, merci.

Nous avons aussi bloqué au même endroit à une époque. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Voilà, désolé si je me suis étendu.

Il faut faire une distinction ici. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

C'est une bonne idée d'avoir ouvert ce sujet. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Si j'ai bien compris, vous dites que : Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Oui, la situation est exactement ainsi concernant quest ce quune red team. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

c'est exactement ça. tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.