Red team vs pentest : quelle est la vraie différence ?

Votre dernier pentest s’est bien passé. Le rapport liste quelques vulnérabilités moyennes, deux ou trois failles critiques corrigées dans la foulée et la direction est rassurée. Pourtant, une question reste en suspens : si un attaquant motivé ciblait réellement votre entreprise pendant trois semaines, vos équipes le verraient-elles arriver ? Entre red team et pentest, la confusion est fréquente.

C’est la question à laquelle un pentest en entreprise ne répond pas, et celle à laquelle un exercice red team est conçu pour répondre. Les deux termes circulent pourtant comme des synonymes dans les appels d’offres et les comités de direction, avec un risque réel : acheter un red team alors qu’on n’est pas prêt, ou enchaîner les pentests alors que la vraie faiblesse se situe dans la détection et la réponse.

Livre blanc Avant de lancer une démarche de test d’intrusion, une question essentielle se pose : Votre entreprise est-elle prête à faire face à un test d’intrusion ? Téléchargez notre livre blanc pour structurer votre approche et transformer un pentest en véritable levier de sécurité. ● Obtenir le livre blanc

Pour vulgariser, le pentest évalue votre surface d’attaque (en exploitant ses failles), le red team votre capacité à détecter et à vous défendre d’un cyberattaquant.

Cet article distingue les deux approches, explique ce que chacune mesure réellement et donne des critères pour savoir quand passer du pentest au red team.

Pentest et red team : deux questions différentes

Un pentest répond à la question : « quelles failles existent sur ce périmètre, et jusqu’où peut-on les exploiter ? » Le périmètre est défini à l’avance (une application, un réseau interne, une infrastructure cloud) et l’objectif est l’exhaustivité : trouver le maximum de vulnérabilités, les prouver par l’exploitation, puis les classer par criticité. Les équipes internes sont généralement informées, car on veut que le testeur cherche des failles plutôt qu’il ne contourne un EDR. Le livrable est un rapport technique, un outil de remédiation pour les équipes IT et le RSSI.

On fait souvent la comparaison entre red team et blue team : le red team joue l’attaquant, la blue team défend. L’exercice répond à une autre question : « un attaquant réaliste peut-il atteindre tel objectif métier sans être détecté, et combien de temps avant que vos équipes réagissent ? » Le périmètre est l’entreprise entière, humains compris, et il s’agit d’enchaîner juste assez de failles pour atteindre une cible précise : données de paie, compte administrateur du domaine, virement frauduleux. Seule une poignée de personnes (la white team) est au courant : on mesure la réaction réelle de la blue team, pas sa réaction à un test annoncé. Le livrable raconte une histoire : chronologie de l’attaque, points de détection, temps de réaction, failles de processus autant que techniques.

En résumé, un pentest en entreprise cherche le maximum de failles sur un périmètre défini et connu des équipes, pour que vous puissiez les corriger. Un red team simule un attaquant réaliste qui vise un objectif métier précis, sans prévenir les équipes de défense, pour mesurer si elles le détectent et réagissent à temps.

Les différences concrètes, point par point

Six différences opérationnelles comptent avant de lancer un projet :

• le périmètre : le pentest est borné (adresses IP, URL, systèmes listés), le red team est ouvert, dans les limites de la convention d’engagement signée en amont ;
• la durée : un pentest dure de quelques jours à deux ou trois semaines, un red team s’étale généralement sur plusieurs semaines, parfois plusieurs mois ;
• la discrétion : secondaire en pentest, centrale en red team, où une action bruyante qui déclenche l’EDR est un résultat en soi ;
• le facteur humain : le red team intègre presque toujours de l’ingénierie sociale (spear phishing, faux appels au support, accès physique) ;
• ce qui est mesuré : des vulnérabilités d’un côté, la détection, la réponse et la résilience de l’autre ;
• le budget : le red team mobilise davantage de profils, sur une durée plus longue (ce qui augmente les coûts). Notre conseil : prenez le temps de bien choisir votre prestataire de pentest.

Notre outil d’estimation de test d’intrusion Avant de lancer une démarche, vous vous demandez... Combien coûterait un pentest ? Estimez le tarif d’un test d’intrusion sur vos SI en quelques minutes grâce à notre questionnaire ! ● Estimer le prix d’un pentest sur mes SI

Pourquoi le red team n’est pas « un meilleur pentest »

Image by marymarkevich on Magnific

C’est le malentendu que l’on a plutôt souvent entendu dans l’équipe. Sauf que le red team, ce n’est pas un pentest amélioré, c’est un exercice différent, qui suppose que les fondamentaux sont déjà en place.

Imaginons : une ETI de 300 salariés lance un red team sans jamais avoir fait de pentest interne. En quelques jours, l’équipe offensive obtient un accès par phishing, trouve des mots de passe en clair sur un partage réseau, puis devient administrateur du domaine grâce à un Active Directory configuré il y a dix ans. Personne ne détecte rien, faute de SOC et de journaux centralisés. Le rapport est édifiant, certes, mais un pentest l’aurait révélé pour un budget bien moindre, et l’exercice est allé trop vite pour tester la chaîne de détection et de réponse (qui fait justement la valeur d’un red team).

Le red team prend tout son sens quand l’organisation a déjà investi dans sa sécurité et veut vérifier que cet investissement fonctionne : c’est un test du dispositif d’ensemble, et non un inventaire de failles.

Les signaux qui indiquent que vous êtes prêt

Il n’existe pas de seuil universel en effectif ou en chiffre d’affaires, mais des signaux de maturité parlent d’eux-mêmes. D’abord, vos derniers pentests ne remontent plus de vulnérabilités critiques évidentes et les recommandations ont été suivies d’effet : si chaque test révèle encore des failles critiques, restez sur des pentests et investissez dans la remédiation. Un audit de cybersécurité permet d’ailleurs de situer objectivement votre maturité avant de choisir.

Ensuite, une capacité de détection : un red team sans blue team en face est un match sans adversaire, il faut au minimum un EDR déployé, des journaux centralisés et une équipe, interne ou via un SOC managé, qui surveille les alertes. Enfin, un processus de réponse à incident formalisé, car l’exercice teste qui est alerté, en combien de temps et si l’escalade fonctionne. Sans plan, même sommaire, commencez par le rédiger.

Deux facteurs d’exposition comptent aussi. Les organisations qui détiennent une propriété intellectuelle stratégique, opèrent dans la finance, la santé, la défense ou l’énergie, ou fournissent un grand compte sont davantage exposées à des attaquants patients et ciblés. Et la réglementation peut s’en mêler : le règlement DORA prévoit des tests de pénétration fondés sur la menace (TLPT), inspirés du cadre TIBER-EU et proches de la logique red team, pour les entités financières désignées par leur autorité compétente. Vérifiez avec votre conseil juridique ou votre RSSI si vous êtes concerné : les critères sont techniques et évoluent.

L’étape intermédiaire : assumed breach et purple team

Entre le pentest classique et le red team complet, des formats intermédiaires conviennent aux PME et ETI en montée en maturité. Le pentest en compromission supposée (assumed breach) part du principe qu’un attaquant a déjà un pied dans le SI, par exemple via un poste utilisateur compromis : on mesure directement ce qu’un attaquant peut faire une fois dans votre SI et ce que vos outils détectent.

Le purple team réunit attaquants et défenseurs autour de la même table : l’attaquant exécute une technique, le défenseur vérifie en temps réel s’il la voit, et les deux ajustent ensemble les règles de détection. Moins spectaculaire qu’un red team, il produit des améliorations immédiates et constitue une bonne marche pour une organisation qui vient de déployer un EDR ou de contractualiser avec un SOC managé.

Choisir le bon exercice au bon moment

Pentest et red team ne sont pas en concurrence, ils répondent à deux niveaux de maturité. Le pentest reste l’outil de base pour identifier et corriger les vulnérabilités, à renouveler régulièrement. Le red team intervient quand ces fondamentaux sont solides et que la question n’est plus « avons-nous des failles ? » mais « sommes-nous capables de voir et d’arrêter un attaquant déterminé ? »

Le vrai risque est de choisir le mauvais au mauvais moment : payer un red team pour découvrir des failles basiques, ou se rassurer avec des pentests propres alors que personne ne surveille les alertes.