Red Team : simulation d'attaque adversariale

La Red Team désigne une équipe spécialisée qui simule des attaques adversariales réalistes contre un système d'information. Contrairement au pentest classique, une opération Red Team suit des TTPs (Tactics, Techniques and Procedures) propres à des groupes APT documentés, en s'appuyant sur des frameworks comme MITRE ATT&CK. L'objectif n'est pas d'identifier toutes les vulnérabilités d'un périmètre, mais de tester la capacité de détection et de réponse d'une organisation face à un attaquant persistant et furtif. Une campagne Red Team couvre typiquement plusieurs phases : reconnaissance externe, compromission initiale, mouvement latéral, élévation de privilèges et exfiltration de données. Chaque phase reproduit fidèlement le comportement d'un acteur malveillant réel. La durée d'une opération s'étale souvent sur plusieurs semaines. Cela permet d'évaluer aussi bien la détection technique que les processus humains du SOC. Le résultat final est un rapport détaillé de la chaîne de compromission, exploitable par la Blue Team pour améliorer les défenses.

Côté Blue Team et SOC, détecter une opération Red Team revient à identifier des comportements offensifs avancés, souvent conçus pour contourner les outils de détection courants. Les événements Windows les plus pertinents incluent l'Event ID 4688 (création de processus avec ligne de commande), l'Event ID 4624 et 4625 (authentifications réussies et échouées), ainsi que l'Event ID 7045 (installation d'un service suspect). Les logs PowerShell (Event ID 4103 et 4104) révèlent les scripts encodés et les appels à des API sensibles. Sur le réseau, les connexions sortantes vers des infrastructures C2 se signalent par des balises régulières (beaconing), des requêtes DNS inhabituelles ou du trafic HTTP/S vers des domaines récemment enregistrés. Les outils SIEM comme Splunk ou Elastic SIEM, couplés à des règles Sigma, permettent de corréler ces indicateurs. L'usage d'un EDR tel que CrowdStrike Falcon ou Microsoft Defender for Endpoint facilite la détection de techniques d'injection de code (process hollowing, DLL sideloading). La mise en place d'un honeypot interne (compte AD leurre, partage réseau piégé) constitue un indicateur d'alerte précoce fiable lors d'un mouvement latéral.

Côté Red Team, les opérations s'appuient sur des frameworks C2 (Command and Control) matures : Cobalt Strike reste la référence, tandis que Sliver et Havoc C2 sont des alternatives open source de plus en plus utilisées. La phase d'accès initial privilégie le spear phishing ciblé avec des payloads obfusqués, le watering hole ou l'exploitation de services exposés. Le mouvement latéral s'effectue via Pass-the-Hash, Pass-the-Ticket ou l'abus de protocoles légitimes comme WMI et PSRemoting. L'élévation de privilèges exploite des mauvaises configurations Active Directory : Kerberoasting, AS-REP Roasting, ou abus de délégations Kerberos. Des outils comme BloodHound permettent de cartographier les chemins d'attaque dans l'AD. Pour contrer ces techniques, les contre-mesures prioritaires incluent le tiering administratif AD, la restriction de NTLM, l'activation de Protected Users, et le déploiement de détections basées sur des règles YARA et Sigma ciblant les comportements C2. Les exercices Purple Team, où Red et Blue Team collaborent en temps réel, constituent l'approche la plus efficace pour renforcer durablement la posture défensive d'une organisation.