Sysdream, la division cybersécurité de Hub One, propose un test d’intrusion d’une ampleur inédite baptisé Mission Red Team. Cette véritable opération commando se déroule sur plusieurs semaines et teste en conditions réelles l’ensemble des protocoles de sécurité d’une entreprise, de son système d’information à ses locaux.
Mission Red Team est la Rolls Royce des tests d’intrusion, qui mêle des séries de tests d’intrusion réseau draconiens, à des stratégies combinées de phishing et d’intrusions physiques pour déterminer avec précision et exactitude l’ensemble des points de fragilité d’une entreprise : son système d’information bien sûr, mais également l’intégralité des données sensibles et des éléments de son patrimoine matériel et immatériel.
Mission Red Team : comment ça marche ?
L’objectif de Red Team est de proposer une évaluation globale en situation réelle de la sécurité d’une entreprise. L’ensemble des moyens de protection (physiques, techniques ou humains) sont testés et mis à l’épreuve pour déterminer d’éventuelles failles concrètes des dispositifs de sécurité.
À la différence de tests d’intrusion classiques, généralement concentrés sur une période de temps limitée, Red Team se déroule sur plusieurs semaines avec plusieurs phases d’actions successives et conjointes, préparées en amont, comme notamment des attaques cyber, des campagnes de phishing (envoi de faux e-mails pour récupérer des informations sensibles), et même l’intrusion physique dans les locaux.
Outre les dispositifs de sécurité, la mission Red Team permet d’évaluer le niveau de réponse de l’équipe technique de l’entreprise (ou de son SOC), mais aussi sa capacité à détecter des tentatives d’intrusion complexes. La réponse des équipes techniques (aussi qualifiées de Blue Team) est cruciale pour déterminer la sécurité de l’entreprise et de ses données sensibles.
Les missions Red Team sont conçues sur-mesure après un échange entre les équipes de Sysdream (Hub One) et leurs clients en fonction de leurs enjeux et de leurs priorités. Des priorités qui peuvent recouvrir les questions de protection de la propriété intellectuelle et du droit d’auteur (médias), de la sécurité des locaux et des systèmes d’information, ainsi que de toutes sortes d’informations sensibles pour les entreprises clientes.
L’importance capitale des retours d’expérience
Les retours d’expérience des missions Red Team donnent des informations capitales pour renforcer la sécurité des entreprises. La plupart du temps, ces opérations révèlent une extrême faiblesse des niveaux de sécurité des accès physiques aux bâtiments, mais également de la sensibilisation des employés aux risques.
Les équipes Red Team parviennent notamment systématiquement à accéder aux bureaux de leurs clients en utilisant des attaques par ingénierie sociale (manipulation psychologique) à l’égard des employés. C’est un facteur de fragilité qui ne peut être renforcé que par un effort de formation accru de l’ensemble des collaborateurs de l’entreprise.
Les retours d’expérience des missions Red Team englobent un spectre beaucoup plus large de menaces, et permettent aux clients d’identifier les vulnérabilités qui peuvent être utilisées dans le cadre d’une attaque, ainsi qu’une liste détaillée des scénarios probables que suivraient des pirates pour compromettre le système d’information.
À la fin de la mission l’équipe Red Team prépare une synthèse générale offrant une analyse de risque globale et une évaluation des efforts nécessaires pour traiter les risques résiduels, ainsi qu’une recommandation de plan d’action détaillant les priorités. Ils reviennent sur l’ensemble des scénarios mis en œuvre (ceux qui ont réussi et ceux qui ont échoué) et les réponses fournies par l’entreprise.
Le personnel opérationnel et technique est débriefé sur l’ensemble des vulnérabilités découvertes au fil de la mission, et l’équipe Red Team évalue avec eux les risques et les efforts à mettre en œuvre pour les corriger.
L’objectif final, pour le client, est d’avoir toute l’information nécessaire pour déterminer un niveau de protection satisfaisant par rapport à ses exigences, à ses moyens, et aux normes réglementaires.
