Red Team vs Blue Team : comprendre les exercices offensifs et défensifs

Les exercices Red Team et Blue Team représentent l'approche la plus réaliste pour tester la résilience d'une organisation face à une cyberattaque sophistiquée. Contrairement au pentest classique qui cible un périmètre défini, un exercice Red Team simule une campagne d'attaque réelle, persistante et multi-vecteur. En 2026, ces exercices ne sont plus réservés aux grandes entreprises : des formats adaptés aux PME et ETI existent, et la directive NIS2 encourage explicitement les tests de résilience opérationnelle.

1. Qu'est-ce que la Red Team ?

1.1. Définition et objectifs

La Red Team est une équipe d'experts en sécurité offensive dont le rôle est de simuler le comportement d'un attaquant réel — groupe cybercriminel, concurrent malveillant ou État-nation. Contrairement au pentest qui cherche à identifier des vulnérabilités techniques sur un périmètre délimité, la Red Team cherche à atteindre des objectifs métier précis (exfiltration de données confidentielles, sabotage d'un processus critique, compromission du SI financier) en utilisant tous les moyens disponibles.

Les techniques employées par une Red Team couvrent l'exploitation technique (failles applicatives, infrastructure), l'ingénierie sociale (phishing ciblé, vishing, prétexting), l'intrusion physique (accès aux locaux, clés USB piégées), et les attaques sur la chaîne d'approvisionnement. La durée d'un exercice Red Team varie de 4 semaines à 3 mois selon la complexité.

1.2. Boîte noire, grise et blanche

Un exercice Red Team peut être mené en mode boîte noire (la Red Team n'a aucune information initiale, comme un attaquant externe), en boîte grise (avec des informations partielles, simulating un initié malveillant ou un accès VPN compromis) ou en boîte blanche (avec un accès complet au code source et à l'architecture, pour identifier des failles profondes). Le mode boîte noire est le plus réaliste mais aussi le plus coûteux en temps.

2. Qu'est-ce que la Blue Team ?

2.1. Le rôle défensif

La Blue Team désigne les équipes de défense internes : SOC, CERT, équipes IT et sécurité. Lors d'un exercice Red Team, la Blue Team ne sait généralement pas qu'une simulation est en cours (mode "assumed breach" en aveugle), ce qui permet d'évaluer les capacités réelles de détection et de réponse. Les indicateurs clés mesurés sont le MTTD (Mean Time To Detect) et le MTTR (Mean Time To Respond).

En France, selon le CESIN, le MTTD moyen est de 197 jours — soit près de 7 mois avant qu'une intrusion ne soit détectée. Les exercices Red Team permettent précisément d'identifier et de réduire ce délai dramatique.

2.2. Les outils de la Blue Team

La Blue Team s'appuie sur un SIEM (Security Information and Event Management) pour corréler les logs, un EDR pour détecter les comportements suspects sur les endpoints, des règles de détection SIGMA et YARA, des playbooks de réponse aux incidents, et des threat feeds pour contextualiser les indicateurs de compromission (IoC). La qualité des règles de détection et la formation des analystes SOC sont les facteurs déterminants de l'efficacité défensive.

3. La Purple Team : le meilleur des deux mondes

La Purple Team est une approche collaborative où la Red Team partage ses techniques et indicateurs en temps réel avec la Blue Team, qui ajuste et améliore ses capacités de détection à la volée. C'est l'approche la plus efficace pour accélérer la maturité défensive, car elle transforme l'exercice en session d'apprentissage structurée plutôt qu'en simple test.

Le framework MITRE ATT&CK est la référence pour structurer les exercices Purple Team. Il recense les tactiques, techniques et procédures (TTP) utilisées par les groupes d'attaquants réels, permettant à la Blue Team de tester sa couverture de détection sur chaque technique individuellement.

4. Red Team vs Pentest : quelles différences ?

Un pentest répond à la question "Quelles vulnérabilités existent ?". Un exercice Red Team répond à "Un attaquant réel peut-il atteindre cet objectif métier ?"

Les principales différences sont le périmètre (défini vs ouvert), la durée (quelques jours vs plusieurs semaines), les vecteurs d'attaque (techniques uniquement vs techniques + humains + physiques), les objectifs (liste de vulnérabilités vs atteinte d'objectifs métier), et le coût (3 000-20 000 € vs 30 000-100 000 €). Le pentest reste indispensable pour la conformité (NIS2, ISO 27001) et l'identification systématique des failles techniques. La Red Team est complémentaire, testant la résilience globale.

5. TIBER-EU : le cadre Red Team du secteur financier

TIBER-EU (Threat Intelligence-Based Ethical Red-Teaming) est le cadre développé par la Banque Centrale Européenne pour les entités financières systémiques. Il impose un processus rigoureux en trois phases : threat intelligence sur les groupes d'attaquants ciblant le secteur, exercice Red Team ciblé sur les fonctions critiques, et rapport de remédiation. En France, la Banque de France supervise la mise en œuvre TIBER. Les entités soumises à DORA doivent conduire des tests TIBER réguliers.

6. Comment organiser un exercice Red Team dans une PME ?

6.1. Définir des objectifs métier clairs

Avant de lancer un exercice, définissez les "crown jewels" — les actifs les plus critiques dont la compromission serait catastrophique. Exemples : accès à la base de données clients, exfiltration de plans industriels, compromission du système de paie, sabotage de la chaîne de production. Ces objectifs guident la Red Team et permettent d'évaluer concrètement l'impact d'une attaque réelle.

6.2. Préparer les conditions de l'exercice

Un exercice Red Team requiert un accord de portée précis (règles d'engagement), une équipe de déclenchement (généralement DG ou RSSI) qui peut arrêter l'exercice en cas de risque réel, une documentation des systèmes hors périmètre (systèmes de production critiques), et un budget adapté. Pour une PME, un exercice Red Team simplifié (2 à 4 semaines, 3 à 5 consultants) coûte entre 25 000 et 60 000 €.

6.3. Exploiter les résultats

Le livrable d'un exercice Red Team comprend une chronologie détaillée de l'attaque, les chemins d'attaque utilisés avec les techniques MITRE ATT&CK correspondantes, les failles d'organisation et de processus (pas seulement techniques), les lacunes de détection identifiées, et un plan de remédiation priorisé. Ce rapport doit être présenté au COMEX pour mobiliser les ressources nécessaires.