Lorsqu\u2019une entreprise a atteint une phase de maturit\u00e9 importante dans son soc (security operation center), son csirt et\/ou de sa d\u00e9fense en g\u00e9n\u00e9ral, il va \u00eatre int\u00e9ressant de l\u2019\u00e9valuer.<\/p>\n\n\n\n
Pour cela il existe une approche r\u00e9aliste qui consiste \u00e0 simuler une attaque cibl\u00e9e afin de mettre \u00e0 l\u2019\u00e9preuve les diff\u00e9rents moyens de protection, qu’ils soient physiques, humains, organisationnels et informatiques. Elle permettra \u00e9galement d\u2019\u00e9valuer l\u2019\u00e9quipe de s\u00e9curit\u00e9 et le SOC que l\u2019on appellera ici blue team<\/strong>.<\/p>\n\n\n\n Contrairement \u00e0 la red team, la blue team se doit de d\u00e9tecter et r\u00e9agir face aux attaquants. La plupart des menaces standards \u00e9tant bloqu\u00e9es par des outils automatis\u00e9s, le but d\u2019une red team est d\u2019aller au-del\u00e0 de ce type d\u2019attaque. La blue team sera donc mise \u00e0 l\u2019\u00e9preuve et \u00e9valu\u00e9e selon diff\u00e9rents param\u00e8tres : r\u00e9activit\u00e9, proactivit\u00e9, vigilance… Afin de contrer l\u2019\u00e9quipe adverse, celle-ci pourra \u00eatre amen\u00e9e \u00e0 cr\u00e9er de nouveaux sc\u00e9narios de d\u00e9tections, r\u00e9aliser du forensic, du reverse engineering, int\u00e9grer\/cr\u00e9er de nouveaux outils et \u00eatre des plus vigilants\u2026<\/p>\n\n\n\n Dans ce sc\u00e9nario, la red team est l\u2019\u00e9quipe dite externe charg\u00e9e de r\u00e9aliser un test d\u2019intrusion. Celle-ci doit se comporter de la fa\u00e7on la plus r\u00e9aliste possible c\u2019est-\u00e0-dire un attaquant d\u00e9termin\u00e9 ciblant une entreprise. Contrairement \u00e0 un pentest classique avec un scope sp\u00e9cifique, la plupart des moyens sont bon pour s\u2019introduire dans une organisation. Ces derniers seront amen\u00e9s \u00e0 faire du social engineering, p\u00e9n\u00e9trer physiquement dans les locaux sans \u00e9veiller les soup\u00e7ons, r\u00e9aliser leurs propres exploits\/payloads\/malwares\u2026 leur p\u00e9rim\u00e8tre d\u2019attaque est vaste. Pour que l\u2019attaque soit r\u00e9alis\u00e9e dans des conditions optimales, ces derniers n\u2019auront aucune information sur les syst\u00e8mes de l\u2019entreprise (du moins fournie officiellement par le client).<\/p>\n\n\n\n Suite \u00e0 un tel exercice, un \u00e9change sera r\u00e9alis\u00e9 entre les deux \u00e9quipes et un rapport sera fourni. Il est important apr\u00e8s chaque red team de sp\u00e9cifier ce qui a \u00e9t\u00e9 r\u00e9alis\u00e9 que \u00e7a soit au niveau de l\u2019attaquant ou du d\u00e9fenseur. Le but \u00e9tant de proposer des axes d\u2019am\u00e9liorations, d\u2019apprendre des autres et sur ses erreurs.<\/p>\n\n\n\n Parmi les probl\u00e9matiques et axes d\u2019am\u00e9liorations, on retrouve souvent :<\/p>\n\n\n\n Les syst\u00e8mes et la s\u00e9curit\u00e9 \u00e9voluant sans cesse, ce type d\u2019exercice est fortement recommand\u00e9 de fa\u00e7on r\u00e9currente m\u00eame si celui-ci reste r\u00e9serv\u00e9 \u00e0 seulement quelques organisations, ces prestations \u00e9tant assez on\u00e9reuse\u2026<\/p>\n\n\n\n Cependant avec le temps et l\u2019exp\u00e9rience, il s\u2019est av\u00e9r\u00e9 que la communication \u00e9tait assez difficile entre les auditeurs et le client rendant les audits red team plus ou moins efficace et exploitable. Pour une meilleure collaboration et efficacit\u00e9, le concept de la purple team<\/strong> a \u00e9t\u00e9 cr\u00e9\u00e9.<\/p>\n\n\n\n Pour faire simple, l\u2019objectif principal de la purple team est de faire l\u2019interface entre la blue team et la red team.<\/p>\n\n\n\n Il s’agit donc d\u2019arriver \u00e0 faire passer la connaissance aux \u00e9quipes op\u00e9rationnelles, et non pas uniquement un rapport d\u2019audit. Comme expliqu\u00e9 pr\u00e9c\u00e9demment, un dialogue compr\u00e9hensible doit \u00eatre r\u00e9alis\u00e9 entre les auditeurs et le client afin de proposer des solutions de rem\u00e9diations ad\u00e9quates (sc\u00e9narios, build etc\u2026) suite aux vuln\u00e9rabilit\u00e9s rencontr\u00e9es.<\/p>\n\n\n\n Par ailleurs, il s\u2019av\u00e8re dans beaucoup de cas que la blue team joue \u00e9galement le r\u00f4le de la purple team (g\u00e9n\u00e9ralement le SOC\/CSIRT).<\/p>\n\n\n\n Quoiqu\u2019il en soit, purple team ou pas purple team, red team ou pas red team, il est important de se pr\u00e9munir et d\u2019\u00eatre proactif contre les menaces externes, celles-ci n\u2019attendent pas… M\u00eame sans cette approche il est tout \u00e0 fait possible de se d\u00e9fendre efficacement et ceux \u00e0 moindre cout notamment via des services gratuits ou peu on\u00e9reux et des outils open source. Mais si vous en avez les moyens et la maturit\u00e9, il serait dommage de ne pas en profiter.<\/p>\n","protected":false},"excerpt":{"rendered":" Introduction Dans le monde de la s\u00e9curit\u00e9, il existe de nombreux concepts. Dans cet article nous allons nous int\u00e9resser \u00e0 celui de l\u2019approche red team et de ses composants. Lorsqu\u2019une entreprise a atteint une phase de maturit\u00e9 importante dans son soc (security operation center), son csirt et\/ou de sa d\u00e9fense […]<\/p>\n","protected":false},"author":1,"featured_media":5530,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[35],"tags":[],"class_list":["post-5524","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite"],"yoast_head":"\nBlue Team vs Red Team<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.lutessa.com\/wp-content\/uploads\/2020\/09\/Sans-titre-5.png\")
<\/figure>\n\n\n\nLe post-audit<\/h2>\n\n\n\n
La purple team ?!<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.lutessa.com\/wp-content\/uploads\/2020\/09\/Sans-titre-6.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.lutessa.com\/wp-content\/uploads\/2020\/09\/red-team-purple-team-blue-team.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.lutessa.com\/wp-content\/uploads\/2020\/09\/securite\u0301.png\")
<\/figure>\n\n\n\n