Évaluation Red Team
Un test d'intrusion demande combien de choses ne vont pas. Une évaluation Red Team pose plutôt une seule question : pouvons-nous atteindre une chose précise à laquelle vous tenez, et quelqu'un nous arrêtera-t-il en chemin ? Le livrable n'est pas un nombre de constats. C'est une chronologie de ce que nous avons fait, en regard de ce que vous avez vu.
Ce qui est inclus
- Un objectif que vous définissez : un jeu de données, un système, une transaction, un niveau de privilège
- Une position de départ réaliste, convenue à l'avance
- Une opération discrète, avec des outils et un rythme choisis pour éviter les signatures évidentes
- Un journal d'activité complet et horodaté, pour que chaque action puisse être rapprochée
- Un rapprochement de la détection avec ce que votre équipe a réellement vu
Ce que vous obtenez
- Chronologie narrative de l'opération, heure par heure
- Comparaison côte à côte de nos actions et de vos alertes
- Les lacunes précises qui ont laissé chaque étape passer inaperçue
- Une correction séparée entre ce qu'il faut corriger et ce qu'il faut détecter
- Restitution en direct avec l'ingénierie et la détection
- Lettre d'attestation pour auditeurs et clients, sur demande
- Attestation de correction après le contre-test, en document distinct
Forme de la mission
- Cadrée au cas par casFixée par écrit avant le début des tests. Deux à quatre semaines, en généralFenêtre habituelle. Construite autour de votre échéance si vous en avez une. Comment fonctionne la tarification
Pour la plupart des entreprises, ce n'est pas la bonne mission
Autant le dire clairement, car c'est généralement l'option la plus chère et souvent pas celle qui aide. Une évaluation Red Team mesure votre détection et votre réponse. Si vous savez déjà que votre couverture de détection est mince, ou si vous n'avez pas fait de test d'intrusion depuis un an, vous apprendrez davantage par euro dépensé en trouvant et en corrigeant d'abord ce qui est réellement cassé.
Le red teaming prend tout son sens quand vous disposez d'une capacité de détection qui fonctionne et que vous devez savoir si elle tient face à quelqu'un qui cherche à ne pas se faire prendre. Si ce n'est pas encore votre cas, dites-le pendant l'appel et nous cadrerons la mission qui convient.
Les règles d'engagement viennent d'abord
L'objectif, les techniques autorisées, les techniques interdites, les identités et systèmes inclus au périmètre, la fenêtre, le contact d'urgence et la procédure d'arrêt sont tous convenus par écrit et signés avant tout démarrage. Une personne nommément désignée chez vous sait que le test est en cours, même si l'équipe élargie l'ignore, et il existe un numéro de téléphone qui l'arrête immédiatement.
Ce que ce n'est pas
Aucune action destructrice. Aucune donnée réelle exfiltrée : l'atteinte de l'objectif se prouve par un fichier canari ou une empreinte, pas en sortant vos dossiers clients du réseau. Aucune intrusion physique et aucun hameçonnage non ciblé de collaborateurs hors de la liste convenue. Chacun de ces éléments est disponible en mission cadrée séparément si vous le souhaitez.
Questions
La couverture, opposée à l'objectif. Un test d'intrusion énumère autant que possible à l'intérieur d'un périmètre et rapporte tout ce qu'il trouve. Une évaluation Red Team choisit un but unique et emprunte la voie la plus discrète pour l'atteindre, ce qui signifie qu'elle laisse délibérément la majeure partie de votre parc non testée.
C'est votre décision, et elle est consignée dans les règles d'engagement. La valeur vient surtout du fait que l'équipe élargie ne sache pas, avec au moins une personne nommément désignée qui, elle, sait - afin que l'exercice puisse être arrêté et qu'un vrai incident ne soit jamais confondu avec le test.
Par accord préalable : généralement un fichier canari placé à l'avance, l'empreinte d'un enregistrement plutôt que l'enregistrement lui-même, ou une capture d'écran dont le contenu sensible est masqué dès la prise. Rien ne quitte votre environnement sans que nous ayons convenu que cela pouvait en sortir.
Deux à quatre semaines, c'est la norme, car opérer discrètement implique d'attendre plutôt que de se précipiter. La fenêtre est fixée dans la proposition.
Au cas par cas. L'objectif, la position de départ et la durée de la fenêtre pèsent davantage que n'importe quel chiffre de périmètre affiché ; c'est donc cadré pendant l'appel et fixé par écrit.
Cadrez-la correctement avant de l'acheter.
Trente minutes au téléphone, un prix fixe par écrit sous 24 heures, et une réponse honnête si ce n'est pas la mission qu'il vous faut.