Tous les services Équipe rouge

Nous vous attaquons avant que quelqu’un d’autre le fasse.

Nous poursuivons un vrai objectif avec les techniques de vrais attaquants, par le courriel, le téléphone, le nuage et votre réseau. Puis nous reconstituons en détail ce que votre équipe a vu et ce qu’elle a manqué.

Planifier un mandat d’équipe rouge
op-paie · jour 3LIVE
  1. [*] OP-PAIE · portée signée · règles d’engagement chargées
  2. [*] reconnaissance : 214 profils d’employés, 3 entrées, 41 hôtes externes
  3. [+] hameçon livré → [email protected] (facture_T3.html)
  4. [+] identifiants capturés : j.tremblay · AMF non exigée sur le RPV
  5. [+] session RPV ouverte au nom de j.tremblay · 09 h 41
  6. [+] implant en ligne : 10.20.4.17 (FIN-LT-042)
  7. [!] alerte de l’équipe bleue : appareil inconnu · 14 min
  8. [+] mot de passe admin local réutilisé → 37 postes
  9. [+] administrateur du domaine : CORP\svc_backup
  10. [+] objectif atteint : \\fs01\paie (lecture)
  11. [*] détecté à temps : 1 étape sur 6

Test d’intrusion ou équipe rouge?

Trouver les faillesTest d’intrusion

Trouve le plus de faiblesses possible dans une portée définie. Votre équipe sait généralement que ça se passe.

Détails
Tester la défenseÉquipe rouge

Poursuit un seul vrai objectif par tous les chemins réalistes, discrètement. On teste vos gens, vos processus et votre détection, pas seulement vos systèmes.

Aligné sur la façon dont travaillent les vrais attaquants

Chaque mandat est cartographié selon MITRE ATT&CK, le catalogue de référence des techniques d’attaque. En surbrillance : celles utilisées dans cette opération exemple.

ReconnaissanceT1593Recherche sur des sites publicsT1589Identités du personnelT1595Balayage actif
Accès initialT1566HameçonnageT1200Ajout de matérielT1133Services distants externes
Accès aux identifiantsT1056Capture de saisieT1003Extraction d’identifiantsT1110Force brute
Mouvement latéralT1021Services distantsT1550Matériel d’authentificationT1570Transfert d’outils
CollecteT1039Données d’un partage réseauT1005Données d’un posteT1114Collecte de courriels
ImpactT1486Rançongiciel (simulé)T1490Empêcher la repriseT1485Destruction de données

Utilisée dans cette opération

Nous testons toute votre défense, pas seulement les murs

  • PréventionFiltrage du courriel, EDR, AMF, contrôles réseau. Bloquent-ils ce qu’ils devraient?L’EDR n’a pas vu un outil d’administration renommé
  • DétectionVotre SOC, MDR ou SIEM. Quelqu’un reçoit-il une alerte, et la bonne?Alerte déclenchée, fermée comme faux positif
  • RéponseTriage, escalade, confinement. En combien de temps une alerte devient-elle une action?3 heures entre l’alerte et le premier appel
  • PersonnesSoutien technique, réception, employés, gestionnaires. Vérifient-ils, questionnent-ils, signalent-ils?Mot de passe réinitialisé au téléphone

L’ingénierie sociale fait partie de l’attaque

La plupart des vraies intrusions passent par une personne convaincue d’aider. Nous le testons aussi, avec soin et l’approbation de la direction.

  • Téléphone Appels sous prétexte« Bonjour, ici les TI, je dois réinitialiser votre AMF. » Soutien technique, finances et réception.
  • Courriel · texto Hameçonnage cibléDes messages écrits pour des personnes, des rôles et des fournisseurs précis.
  • Sur place Usurpation en personneLivreur, technicien, nouvel employé. Quelqu’un pose-t-il des questions?
  • Physique AppâtsClés USB et codes QR à votre image, laissés là où le personnel les trouvera.

Attaquant contre défenseur, minute par minute

Nous horodatons chaque geste des deux côtés. Vous voyez exactement où votre défense a tenu, hésité ou n’a rien vu.

Équipe rougeVos défenseurs
  1. Jour 1 · 09 h 12Courriel d’hameçonnage livré—
  2. Jour 1 · 09 h 41Connexion RPV avec des identifiants volés—
  3. Jour 1 · 10 h 03Implant branché, salle BAlerte SOC : appareil inconnu
  4. Jour 1 · 13 h 10Alerte transmise aux TI
  5. Jour 2 · 08 h 20Administrateur du domaine obtenu—
  6. Jour 3 · 11 h 05Dossier de paie copiéAlerte 26 h plus tard
  • 14 minDélai avant la première alerte
  • 3 hDe l’alerte à l’escalade
  • JamaisAttaquant contenu

Choisissez jusqu’où nous allons

  1. 1Brèche présuméeNous commençons de l’intérieur, comme si un portable était déjà compromis. Teste rapidement la détection et la réponse.
  2. 2Attaque externeDepuis Internet et vos boîtes de courriel, comme la plupart des vraies intrusions.
  3. 3Portée complèteAjoute les attaques infonuagiques et les prétextes téléphoniques.
  4. 4Opération furtive prolongéeDes semaines d’activité discrète pour tester votre SOC en conditions réelles.
Puis nous changeons de campLors de la reconstitution en équipe mauve, nous nous assoyons avec votre SOC et vos TI, rejouons chaque technique et aidons à ajuster les détections qui ont échoué.

Un vrai attaquant, un mandat sécuritaire

  • Autorisation écritePortée, objectifs et règles signés par la direction avant tout.
  • Aucun dommageAucun chiffrement réel, aucune suppression, aucune donnée qui sort de votre contrôle.
  • Arrêt d’urgenceUne personne désignée peut tout suspendre en tout temps.
  • DiscrétionSeules les personnes qui doivent savoir sont informées.

Comment ça se passe

  1. PlanifierObjectifs, portée et règles d’engagement avec la direction.
  2. ReconnaissanceCe qu’un attaquant peut apprendre sur vos gens et vos systèmes.
  3. AttaqueNous poursuivons l’objectif, discrètement, sur des jours ou des semaines.
  4. ReconstitutionNous revoyons chaque étape avec votre équipe et ce qu’il faut ajuster.
Pas prêt pour une équipe rouge complète?Commencez par un test d’intrusion pour trouver et corriger d’abord les failles évidentes.Tests d’intrusion

Les exemples sur cette page sont illustratifs.

Planifier un mandat d’équipe rouge

Dites-nous ce qui se passe. L’expert qui dirigerait le mandat vous répond dans un délai de 1 à 2 jours ouvrables, en français ou en anglais.

Réserver une consultation gratuite