Red Teaming : de quoi parle-t-on ?<\/strong><\/span><\/h2>\n <\/p>\n
Avant de parler de Red Teaming, il est int\u00e9ressant d\u2019\u00e9voquer le test d\u2019intrusion, ainsi que l\u2019\u00e9volution des m\u00e9thodes d\u2019attaques qui conduisent les \u00e9quipes de s\u00e9curit\u00e9 \u00e0 r\u00e9inventer leurs techniques de d\u00e9fense.<\/p>\n
Lors de la r\u00e9alisation d\u2019un pentest, on va rechercher les vuln\u00e9rabilit\u00e9s sur un p\u00e9rim\u00e8tre souvent contraint<\/strong> ; que ce soit une faille de s\u00e9curit\u00e9 au sein d\u2019une application, ou encore un d\u00e9faut de configuration du domaine Windows, l\u2019id\u00e9e est de remonter des vuln\u00e9rabilit\u00e9s et de fournir des recommandations sur un p\u00e9rim\u00e8tre pr\u00e9cis au commanditaire, dans un temps ma\u00eetris\u00e9<\/strong>, avec une pr\u00e9dictibilit\u00e9 importante sur les actions de l\u2019auditeur.<\/p>\nLorsque nous avons cr\u00e9\u00e9 l\u2019offre Red Teaming<\/strong>, il y a environ 3 ans, c\u2019\u00e9tait avant tout pour r\u00e9pondre aux nouveaux enjeux de s\u00e9curit\u00e9 des entreprises. Avec l\u2019\u00e9volution des TTP (techniques, outils et proc\u00e9dures), en particulier le sch\u00e9ma APT (Advanced Persistent Threat)<\/a>, et la mont\u00e9e en comp\u00e9tence des cybercriminels, les \u00e9quipes de s\u00e9curit\u00e9 des entreprises doivent s\u2019adapter et s\u2019entra\u00eener \u00e0 la d\u00e9tection et \u00e0 la r\u00e9action aux incidents sur un p\u00e9rim\u00e8tre et une dur\u00e9e bien plus \u00e9tendus<\/strong>.<\/p>\nL\u2019approche Red Teaming est fond\u00e9e sur l\u2019id\u00e9e que nul n\u2019est \u00e0 l\u2019abri de subir une attaque utilisant des m\u00e9thodes d’attaques cibl\u00e9es et qu\u2019une \u00e9valuation doit se faire en consid\u00e9rant des param\u00e8tres r\u00e9alistes, sans introduire un prisme r\u00e9ducteur d\u00e8s le d\u00e9marrage\u00a0: minimiser les contraintes sur la m\u00e9thode, sur le p\u00e9rim\u00e8tre, sur le temps. C\u2019est l\u2019objectif qui prime\u00a0; La s\u00e9curit\u00e9 d\u2019une entreprise doit aussi consid\u00e9rer une logique Assume-breach<\/em><\/strong>, selon laquelle le syst\u00e8me d\u2019information est d\u00e9j\u00e0 compromis ou le sera in\u00e9vitablement.<\/p>\n![\"Red](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2018\/03\/Red-Teaming-enjeux-300x287.png\")
<\/p>\n
<\/p>\n
Lorsque l\u2019on r\u00e9alise un Red Teaming, on commence par identifier les actifs les plus sensibles<\/strong> de l\u2019entreprise ayant un impact fort sur celle-ci et qu\u2019il est donc imp\u00e9ratif de prot\u00e9ger (ce que l\u2019on appelle les Troph\u00e9es). Puis, notre Red Team tente d’atteindre ces derniers via diff\u00e9rents sc\u00e9narios de compromission<\/strong>, en \u00e9tant le plus discret possible et en\u00a0s\u2019effor\u00e7ant de ne pas se faire d\u00e9tecter par les \u00e9quipes de d\u00e9fense du client (la Blue Team).<\/p>\n <\/p>\n
<\/p>\n
<\/p>\n
L\u2019id\u00e9e ici n\u2019est pas de lister l\u2019ensemble des vuln\u00e9rabilit\u00e9s pr\u00e9sentes sur un p\u00e9rim\u00e8tre bien d\u00e9fini, comme dans le cadre d\u2019un pentest, mais plut\u00f4t d\u2019\u00e9valuer la capacit\u00e9\u00a0<\/strong>de d\u00e9tection et de r\u00e9ponse sur incidents de la Blue Team<\/strong>, et d\u2019entra\u00eener cette derni\u00e8re \u00e0 r\u00e9agir face \u00e0 des cyberattaques concr\u00e8tes, dilu\u00e9es dans le temps et mixant attaque physique, sociale et logique<\/strong>.<\/p>\nNous sommes convaincus que conna\u00eetre et vivre l\u2019impact simul\u00e9 d\u2019une cyberattaque, puis tenter d\u2019y rem\u00e9dier, est le meilleur entra\u00eenement que les \u00e9quipes de d\u00e9fense d\u2019une organisation puissent avoir.<\/p>\n
Pour en savoir plus sur nos offres, n’h\u00e9sitez pas \u00e0 vous inscrire \u00e0 notre newsletter bimensuelle.<\/em><\/a><\/h4>\n<\/h4>\n
<\/p>\n
Le client peut-il d\u00e9finir une limite \u00e0 ne pas franchir dans le cadre d’un Red Teaming ?<\/strong><\/span><\/h2>\n <\/p>\n
![\"Red](\"\/wp-content\/uploads\/2018\/03\/shield-2854067_1920-300x200.jpg\")
Bien s\u00fbr. Au m\u00eame titre que pour un test d\u2019intrusion traditionnel, cette approche peut soulever des craintes au regard des sc\u00e9narios de compromission et des donn\u00e9es sensibles \u00e0 r\u00e9cup\u00e9rer. Nous fixons donc d\u00e8s le d\u00e9but des \u00e9changes avec le client des limites \u00e0 ne pas d\u00e9passer<\/strong>.<\/p>\nQuatre r\u00e8gles d\u2019or principales sont suivies \u00e0 la lettre par notre Red Team\u00a0: nous ne provoquons pas de perturbation de l\u2019activit\u00e9 de nos clients<\/strong> au-del\u00e0 de ce qu\u2019il a accept\u00e9 au pr\u00e9alable, nous ne r\u00e9duisons pas le niveau de s\u00e9curit\u00e9 en place<\/strong>, nous n\u2019acc\u00e9dons pas aux donn\u00e9es personnelles des collaborateurs de l\u2019entreprise vis\u00e9e<\/strong>, et enfin nous n\u2019appliquons pas d\u2019action irr\u00e9versible<\/strong>. L\u2019exercice vise \u00e0 tester r\u00e9ellement le processus de r\u00e9ponse \u00e0 incident, et la capacit\u00e9 de d\u00e9tection.<\/p>\nPar exemple, si un troph\u00e9e concerne les donn\u00e9es sensibles, selon les r\u00e8gles d’engagement elles peuvent \u00eatre exfiltr\u00e9es de mani\u00e8re s\u00e9curis\u00e9e ou simplement consult\u00e9es. Si l\u2019exfiltration de donn\u00e9es strat\u00e9giques n\u2019est pas souhait\u00e9e, des marqueurs peuvent \u00eatre d\u00e9pos\u00e9s pour illustrer et valider un sc\u00e9nario de compromission.<\/p>\n
<\/h4>\n<\/h2>\nQuelle est la valeur d’un Red Teaming pour la s\u00e9curit\u00e9 d’une entreprise ?<\/strong><\/span><\/h2>\n <\/p>\n
Le Red Teaming s\u2019adresse \u00e0 des entreprises matures souhaitant challenger leurs \u00e9quipes de d\u00e9fense<\/strong>, ou ayant besoin d\u2019un changement d\u2019approche dans leur \u00e9valuation<\/strong>. Notre d\u00e9marche tire sa force de la compl\u00e9mentarit\u00e9 de nos diff\u00e9rents p\u00f4les<\/strong>.<\/p>\nDes exercices de Purple Teaming<\/strong> sont r\u00e9alis\u00e9s en interne entre nos activit\u00e9s de d\u00e9fense (SOC, CERT), et Red Team. Chacun tire profit des expertises en attaque<\/strong>, d\u00e9fense<\/strong> et accompagnement<\/strong> des diff\u00e9rentes \u00e9quipes, afin d\u2019am\u00e9liorer en permanence les sch\u00e9mas de d\u00e9tection, et l\u2019efficacit\u00e9 des techniques d\u2019intrusion et d\u2019\u00e9vasion.<\/p>\nDe plus, le CERT-Intrinsec<\/strong> est en mesure de fournir des TTP (Tactiques, outils et proc\u00e9dures) issus de l\u2019observation d\u2019activit\u00e9s malveillantes r\u00e9elles, ou de missions de veille align\u00e9es avec la matrice Mitre<\/a>, et qui donnent des informations techniques pour la r\u00e9alisation de sc\u00e9narios d\u2019attaque.<\/p>\nD\u2019autre part, notre cellule de Cyber Threat Intelligence<\/strong> apporte des informations sur des fuites de donn\u00e9es sensibles concr\u00e8tes, qui pourraient impacter un client du service de Red Teaming et que l\u2019on pourrait exploiter dans la r\u00e9alisation d\u2019un sc\u00e9nario de compromission. Enfin, gr\u00e2ce \u00e0 la cartographie et au monitoring de la Cyber Threat Intelligence, nous pouvons remonter rapidement au client des donn\u00e9es sensibles le concernant (identifiants de connexion, URLs serveur\u2026) et exploiter une conjoncture particuli\u00e8re sur la dur\u00e9e de la mission.<\/p>\n <\/p>\n
Retours d\u2019exp\u00e9rience Red Teaming\u00a0: R\u00e9cup\u00e9ration des actifs sensibles
\nde 3 entreprises via des sc\u00e9narios de compromission<\/u><\/h4>\n
<\/p>\n
![\"Red](\"https:\/\/www.intrinsec.com\/wp-content\/uploads\/2018\/03\/Red-Teaming-mise-en-situation-1-1024x506.png\")
<\/p>\n
Si vous souhaitez en savoir plus sur nos sc\u00e9narios de compromission dans le cadre d’un Red Teaming, n’h\u00e9sitez pas \u00e0 consulter notre article Retours d\u2019exp\u00e9rience<\/u><\/a>, ou bien \u00e0 nous contacter directement : contact@intrinsec.com<\/u><\/a><\/em><\/p>\n <\/p>\n
Quelles sont les approches Red Team propos\u00e9es par Intrinsec ?\u00a0<\/strong><\/span><\/h2>\n <\/p>\n
Le Red Teaming est un service sur mesure, qui se construit en fonction des enjeux du client. Nous proposons donc diff\u00e9rentes approches :<\/p>\n
L\u2019approche Full\u00a0Red Team<\/strong> : \u00a0nous partons uniquement du nom du client et des troph\u00e9es \u00e0 r\u00e9cup\u00e9rer.<\/p>\nL\u2019approche Assume Breach<\/strong>\u00a0: le client nous donne un acc\u00e8s initial (acc\u00e8s aux locaux, ex\u00e9cution d\u2019un programme), puis nous tentons de r\u00e9cup\u00e9rer les troph\u00e9es via cet acc\u00e8s.<\/p>\nL\u2019approche Story Line<\/strong>\u00a0: nous r\u00e9cup\u00e9rons des troph\u00e9es via les sc\u00e9narios de compromission les plus redout\u00e9s du client (spear phishing, intrusion physique\u2026)<\/p>\nL\u2019approche Serious Game\u00a0<\/strong>: ce mode est tr\u00e8s int\u00e9ressant et stimulant pour entra\u00eener les \u00e9quipes de d\u00e9fense. C\u2019est une approche ludique entre la Red Team et les \u00e9quipes op\u00e9rationnelles c\u00f4t\u00e9 clients (la Blue Team), pour laquelle cette derni\u00e8re a connaissance de l\u2019exercice \u00e0 venir. L\u2019objectif de la Blue Team est de d\u00e9tecter notre intrusion, reconstruire le sc\u00e9nario d\u2019attaque et revenir \u00e0 l\u2019\u00e9tat initial. Si la Blue Team a du mal \u00e0 d\u00e9bloquer une situation, nous lui fournissons des indices (comme des adresses IP, des IOC\u2026).<\/p>\nNotre objectif n\u2019est pas de mettre les \u00e9quipes de s\u00e9curit\u00e9 dans l\u2019embarras, mais au contraire de se positionner en tant que partenaire<\/strong> et de les aider \u00e0 am\u00e9liorer leur s\u00e9curit\u00e9 de mani\u00e8re continue.<\/p>\nCette approche peut \u00eatre gamifi\u00e9e dans une logique de CTF<\/a> (Capture the flag\u00a0: mode de jeu par \u00e9quipe), de concours dans le temps en fonction des succ\u00e8s des uns ou des autres.<\/p>\n
Lorsque nous avons cr\u00e9\u00e9 l\u2019offre Red Teaming<\/strong>, il y a environ 3 ans, c\u2019\u00e9tait avant tout pour r\u00e9pondre aux nouveaux enjeux de s\u00e9curit\u00e9 des entreprises. Avec l\u2019\u00e9volution des TTP (techniques, outils et proc\u00e9dures), en particulier le sch\u00e9ma APT (Advanced Persistent Threat)<\/a>, et la mont\u00e9e en comp\u00e9tence des cybercriminels, les \u00e9quipes de s\u00e9curit\u00e9 des entreprises doivent s\u2019adapter et s\u2019entra\u00eener \u00e0 la d\u00e9tection et \u00e0 la r\u00e9action aux incidents sur un p\u00e9rim\u00e8tre et une dur\u00e9e bien plus \u00e9tendus<\/strong>.<\/p>\n L\u2019approche Red Teaming est fond\u00e9e sur l\u2019id\u00e9e que nul n\u2019est \u00e0 l\u2019abri de subir une attaque utilisant des m\u00e9thodes d’attaques cibl\u00e9es et qu\u2019une \u00e9valuation doit se faire en consid\u00e9rant des param\u00e8tres r\u00e9alistes, sans introduire un prisme r\u00e9ducteur d\u00e8s le d\u00e9marrage\u00a0: minimiser les contraintes sur la m\u00e9thode, sur le p\u00e9rim\u00e8tre, sur le temps. C\u2019est l\u2019objectif qui prime\u00a0; La s\u00e9curit\u00e9 d\u2019une entreprise doit aussi consid\u00e9rer une logique Assume-breach<\/em><\/strong>, selon laquelle le syst\u00e8me d\u2019information est d\u00e9j\u00e0 compromis ou le sera in\u00e9vitablement.<\/p>\n <\/p>\n Lorsque l\u2019on r\u00e9alise un Red Teaming, on commence par identifier les actifs les plus sensibles<\/strong> de l\u2019entreprise ayant un impact fort sur celle-ci et qu\u2019il est donc imp\u00e9ratif de prot\u00e9ger (ce que l\u2019on appelle les Troph\u00e9es). Puis, notre Red Team tente d’atteindre ces derniers via diff\u00e9rents sc\u00e9narios de compromission<\/strong>, en \u00e9tant le plus discret possible et en\u00a0s\u2019effor\u00e7ant de ne pas se faire d\u00e9tecter par les \u00e9quipes de d\u00e9fense du client (la Blue Team).<\/p>\n <\/p>\n <\/p>\n <\/p>\n L\u2019id\u00e9e ici n\u2019est pas de lister l\u2019ensemble des vuln\u00e9rabilit\u00e9s pr\u00e9sentes sur un p\u00e9rim\u00e8tre bien d\u00e9fini, comme dans le cadre d\u2019un pentest, mais plut\u00f4t d\u2019\u00e9valuer la capacit\u00e9\u00a0<\/strong>de d\u00e9tection et de r\u00e9ponse sur incidents de la Blue Team<\/strong>, et d\u2019entra\u00eener cette derni\u00e8re \u00e0 r\u00e9agir face \u00e0 des cyberattaques concr\u00e8tes, dilu\u00e9es dans le temps et mixant attaque physique, sociale et logique<\/strong>.<\/p>\n Nous sommes convaincus que conna\u00eetre et vivre l\u2019impact simul\u00e9 d\u2019une cyberattaque, puis tenter d\u2019y rem\u00e9dier, est le meilleur entra\u00eenement que les \u00e9quipes de d\u00e9fense d\u2019une organisation puissent avoir.<\/p>\n <\/p>\n <\/p>\n Quatre r\u00e8gles d\u2019or principales sont suivies \u00e0 la lettre par notre Red Team\u00a0: nous ne provoquons pas de perturbation de l\u2019activit\u00e9 de nos clients<\/strong> au-del\u00e0 de ce qu\u2019il a accept\u00e9 au pr\u00e9alable, nous ne r\u00e9duisons pas le niveau de s\u00e9curit\u00e9 en place<\/strong>, nous n\u2019acc\u00e9dons pas aux donn\u00e9es personnelles des collaborateurs de l\u2019entreprise vis\u00e9e<\/strong>, et enfin nous n\u2019appliquons pas d\u2019action irr\u00e9versible<\/strong>. L\u2019exercice vise \u00e0 tester r\u00e9ellement le processus de r\u00e9ponse \u00e0 incident, et la capacit\u00e9 de d\u00e9tection.<\/p>\n Par exemple, si un troph\u00e9e concerne les donn\u00e9es sensibles, selon les r\u00e8gles d’engagement elles peuvent \u00eatre exfiltr\u00e9es de mani\u00e8re s\u00e9curis\u00e9e ou simplement consult\u00e9es. Si l\u2019exfiltration de donn\u00e9es strat\u00e9giques n\u2019est pas souhait\u00e9e, des marqueurs peuvent \u00eatre d\u00e9pos\u00e9s pour illustrer et valider un sc\u00e9nario de compromission.<\/p>\n <\/p>\n Le Red Teaming s\u2019adresse \u00e0 des entreprises matures souhaitant challenger leurs \u00e9quipes de d\u00e9fense<\/strong>, ou ayant besoin d\u2019un changement d\u2019approche dans leur \u00e9valuation<\/strong>. Notre d\u00e9marche tire sa force de la compl\u00e9mentarit\u00e9 de nos diff\u00e9rents p\u00f4les<\/strong>.<\/p>\n Des exercices de Purple Teaming<\/strong> sont r\u00e9alis\u00e9s en interne entre nos activit\u00e9s de d\u00e9fense (SOC, CERT), et Red Team. Chacun tire profit des expertises en attaque<\/strong>, d\u00e9fense<\/strong> et accompagnement<\/strong> des diff\u00e9rentes \u00e9quipes, afin d\u2019am\u00e9liorer en permanence les sch\u00e9mas de d\u00e9tection, et l\u2019efficacit\u00e9 des techniques d\u2019intrusion et d\u2019\u00e9vasion.<\/p>\n De plus, le CERT-Intrinsec<\/strong> est en mesure de fournir des TTP (Tactiques, outils et proc\u00e9dures) issus de l\u2019observation d\u2019activit\u00e9s malveillantes r\u00e9elles, ou de missions de veille align\u00e9es avec la matrice Mitre<\/a>, et qui donnent des informations techniques pour la r\u00e9alisation de sc\u00e9narios d\u2019attaque.<\/p>\n D\u2019autre part, notre cellule de Cyber Threat Intelligence<\/strong> apporte des informations sur des fuites de donn\u00e9es sensibles concr\u00e8tes, qui pourraient impacter un client du service de Red Teaming et que l\u2019on pourrait exploiter dans la r\u00e9alisation d\u2019un sc\u00e9nario de compromission. Enfin, gr\u00e2ce \u00e0 la cartographie et au monitoring de la Cyber Threat Intelligence, nous pouvons remonter rapidement au client des donn\u00e9es sensibles le concernant (identifiants de connexion, URLs serveur\u2026) et exploiter une conjoncture particuli\u00e8re sur la dur\u00e9e de la mission.<\/p>\n <\/p>\n <\/p>\n Si vous souhaitez en savoir plus sur nos sc\u00e9narios de compromission dans le cadre d’un Red Teaming, n’h\u00e9sitez pas \u00e0 consulter notre article Retours d\u2019exp\u00e9rience<\/u><\/a>, ou bien \u00e0 nous contacter directement : contact@intrinsec.com<\/u><\/a><\/em><\/p>\n <\/p>\n <\/p>\n Le Red Teaming est un service sur mesure, qui se construit en fonction des enjeux du client. Nous proposons donc diff\u00e9rentes approches :<\/p>\n L\u2019approche Full\u00a0Red Team<\/strong> : \u00a0nous partons uniquement du nom du client et des troph\u00e9es \u00e0 r\u00e9cup\u00e9rer.<\/p>\n L\u2019approche Assume Breach<\/strong>\u00a0: le client nous donne un acc\u00e8s initial (acc\u00e8s aux locaux, ex\u00e9cution d\u2019un programme), puis nous tentons de r\u00e9cup\u00e9rer les troph\u00e9es via cet acc\u00e8s.<\/p>\n L\u2019approche Story Line<\/strong>\u00a0: nous r\u00e9cup\u00e9rons des troph\u00e9es via les sc\u00e9narios de compromission les plus redout\u00e9s du client (spear phishing, intrusion physique\u2026)<\/p>\n L\u2019approche Serious Game\u00a0<\/strong>: ce mode est tr\u00e8s int\u00e9ressant et stimulant pour entra\u00eener les \u00e9quipes de d\u00e9fense. C\u2019est une approche ludique entre la Red Team et les \u00e9quipes op\u00e9rationnelles c\u00f4t\u00e9 clients (la Blue Team), pour laquelle cette derni\u00e8re a connaissance de l\u2019exercice \u00e0 venir. L\u2019objectif de la Blue Team est de d\u00e9tecter notre intrusion, reconstruire le sc\u00e9nario d\u2019attaque et revenir \u00e0 l\u2019\u00e9tat initial. Si la Blue Team a du mal \u00e0 d\u00e9bloquer une situation, nous lui fournissons des indices (comme des adresses IP, des IOC\u2026).<\/p>\n Notre objectif n\u2019est pas de mettre les \u00e9quipes de s\u00e9curit\u00e9 dans l\u2019embarras, mais au contraire de se positionner en tant que partenaire<\/strong> et de les aider \u00e0 am\u00e9liorer leur s\u00e9curit\u00e9 de mani\u00e8re continue.<\/p>\n Cette approche peut \u00eatre gamifi\u00e9e dans une logique de CTF<\/a> (Capture the flag\u00a0: mode de jeu par \u00e9quipe), de concours dans le temps en fonction des succ\u00e8s des uns ou des autres.<\/p>\n<\/p>\nPour en savoir plus sur nos offres, n’h\u00e9sitez pas \u00e0 vous inscrire \u00e0 notre newsletter bimensuelle.<\/em><\/a><\/h4>\n
<\/h4>\n
Le client peut-il d\u00e9finir une limite \u00e0 ne pas franchir dans le cadre d’un Red Teaming ?<\/strong><\/span><\/h2>\n
Bien s\u00fbr. Au m\u00eame titre que pour un test d\u2019intrusion traditionnel, cette approche peut soulever des craintes au regard des sc\u00e9narios de compromission et des donn\u00e9es sensibles \u00e0 r\u00e9cup\u00e9rer. Nous fixons donc d\u00e8s le d\u00e9but des \u00e9changes avec le client des limites \u00e0 ne pas d\u00e9passer<\/strong>.<\/p>\n<\/h4>\n
<\/h2>\n
Quelle est la valeur d’un Red Teaming pour la s\u00e9curit\u00e9 d’une entreprise ?<\/strong><\/span><\/h2>\n
Retours d\u2019exp\u00e9rience Red Teaming\u00a0: R\u00e9cup\u00e9ration des actifs sensibles
\nde 3 entreprises via des sc\u00e9narios de compromission<\/u><\/h4>\n<\/p>\nQuelles sont les approches Red Team propos\u00e9es par Intrinsec ?\u00a0<\/strong><\/span><\/h2>\n