Une agence nous propose du « Red Teaming » : concrètement, qu'est-ce que ça implique pour une boîte de 20 personnes ?

Proposer du Red Teaming à une boîte de 20 personnes c'est clairement une technique de l'agence pour gonfler la facture. Vous n'avez même pas de Blue Team en interne pour monitorer les attaques et suivre les alertes, le Red Team va tester quoi au juste ? Ils vont s'attaquer tout seuls vous sortir un « regardez, on est entrés » et vous facturer 24.000 EUR. Fuyez.

Le Red Teaming englobe l'ingénierie sociale, le contournement de la sécurité physique et la persistance furtive sur le réseau. Ça s'étale souvent sur plusieurs semaines. À moins d'avoir des exigences d'audit très strictes comme l'ISO 27001 ou TISAX, un bon pentest ciblé sur votre infra cloud et vos endpoints d'API est largement suffisant à l'échelle d'une PME.

Partez sur le pentest à 6.500 EUR mais cadrez bien le périmètre : incluez les configurations cloud, l'interface web et les contrôles d'autorisation sur l'API. Dites simplement à l'agence : « Nous n'avons pas encore de centre opérationnel de sécurité, nous ne sommes pas prêts pour une simulation Red Team », et ils lâcheront l'affaire.

On est un cabinet de conseil financier de 35 personnes. On a accepté une offre similaire il y a deux ans. Résultat : ils ont fait cliquer un collaborateur sur un faux lien de suivi de colis, sont entrés dans les locaux en se faisant passer pour des stagiaires et ont piqué une clé USB qui traînait. On a payé 20.000 EUR pour juste réapprendre que le personnel doit être vigilant. Une formation interne à 2.000 EUR aurait donné exactement le même résultat.

Vos clients sont-ils de gros géants de la logistique ? Parfois, les grands comptes imposent une clause « Red Teaming annuel ou simulation de menace avancée » dans leurs contrats fournisseurs. Si ce n'est pas une exigence contractuelle obligatoire, pour une équipe de 20 personnes, c'est purement du luxe inutile.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

le pentest vérifie si les portes et fenêtres sont bien verrouillées le red team tente d'escalader la façade pour passer par la cheminée. si t'as pas encore de serrure à la porte d'entrée, inutile de mettre une alarme sur la cheminée. faites le test standard et basta.

Dans mon ancienne boîte d'édition logicielle (25 personnes), l'agence nous a fait un Red Team. Un gars est entré déguisé en livreur de pizza, a relevé le mot de passe du Wi-Fi affiché dans la cuisine et est reparti. Ils ont pondu un rapport super classe, mais au final ce que voulaient nos clients, c'était que les patchs de sécurité des serveurs soient à jour. Faut pas se tromper de priorité.

Il faut faire une distinction ici. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. À votre place, j'irais par cette voie.

J'ai vécu exactement la même chose il y a deux ans. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Merci, c'était exactement la réponse que je cherchais.

Merci, c'était exactement la réponse que je cherchais. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Voilà, désolé si je me suis étendu.

Je suis d'accord j'aimerais même souligner ce point. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

exactement et ce n'est pas si connu que ça.. puis tous ceux qui se pressent sur définition red teaming se heurtent au même obstacle.

prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois. genre corrigez-moi si je me trompe.

J'aimerais poser une question. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Il y a une erreur fréquente à commettre en faisant cela. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Bon courage.

j'aimerais poser une question. franchement le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je vais essayer.

Je suis d'accord j'aimerais même souligner ce point. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Si vous grondez les fausses alertes, plus personne ne signalera rien.