Pentest vs Red Team : quelle différence ?
Une confusion fréquente dans les formations
Les termes "pentest" et "red team" sont souvent utilisés de manière interchangeable dans les programmes de formation en cybersécurité. C'est une erreur qui a des conséquences pédagogiques réelles : les étudiants sortent de cursus sans comprendre la distinction, ce qui les pénalise en entretien d'embauche et en début de carrière.
Un pentesteur et un red teamer ne font pas le même travail, n'utilisent pas les mêmes méthodes et ne produisent pas les mêmes livrables. Les formations doivent refléter cette distinction pour préparer correctement les étudiants aux réalités du terrain.
Le pentest : tester les défenses techniques
Définition et objectifs
Le test d'intrusion (pentest) est une évaluation méthodique de la sécurité d'un périmètre défini. Le pentesteur reçoit un scope précis : une application web, un réseau interne, une infrastructure cloud, une API. Son objectif est d'identifier et d'exploiter le maximum de vulnérabilités dans ce périmètre, pendant une durée définie (généralement une à trois semaines).
Le pentest répond à la question : "Quelles sont les vulnérabilités de ce système et comment un attaquant pourrait-il les exploiter ?"
Méthodologie
Le pentest suit une méthodologie structurée et reproductible :
- Reconnaissance : cartographier le périmètre, identifier les technologies, énumérer les services
- Scan et énumération : utiliser des outils automatisés (Nmap, Burp Suite, Nessus) pour identifier les vulnérabilités potentielles
- Exploitation : tenter d'exploiter les vulnérabilités identifiées pour prouver leur impact
- Post-exploitation : évaluer ce qu'un attaquant pourrait faire après avoir obtenu un accès initial
- Rapport : documenter chaque vulnérabilité avec sa criticité, sa preuve d'exploitation et ses recommandations de remédiation
Le pentesteur travaille généralement en boîte blanche (avec toutes les informations sur la cible), boîte grise (avec des accès limités) ou boîte noire (sans aucune information préalable).
Livrables
Le livrable principal est un rapport technique détaillé qui liste les vulnérabilités trouvées, classées par criticité. Chaque vulnérabilité est documentée avec : sa description, les étapes de reproduction, les preuves (captures d'écran, logs), l'impact potentiel et les recommandations de correction.
Ce rapport est destiné aux équipes techniques qui devront corriger les failles. Les vulnérabilités couramment trouvées incluent les injections SQL, les XSS, les mauvaises configurations, les mots de passe faibles ou les logiciels obsolètes.
Le red team : simuler un adversaire réel
Définition et objectifs
L'exercice de red team est une simulation d'attaque réaliste visant à évaluer la posture de sécurité globale d'une organisation. Contrairement au pentest, le red team ne se limite pas à un périmètre technique : il teste aussi les processus, les personnes et la capacité de détection et de réponse (le blue team).
Le red team répond à la question : "Un attaquant motivé pourrait-il compromettre notre organisation, et nos équipes de défense le détecteraient-elles ?"
Méthodologie
Le red team opère sur un temps long (plusieurs semaines à plusieurs mois) avec une approche radicalement différente :
-
Objectifs orientés impact : le red team ne cherche pas toutes les vulnérabilités. Il cherche un chemin d'attaque réaliste pour atteindre un objectif précis : exfiltrer des données sensibles, accéder au système de messagerie de la direction, compromettre un domaine Active Directory.
-
Discrétion maximale : là où le pentesteur peut être bruyant dans ses scans, le red teamer doit rester indétecté. L'un des objectifs est de tester la capacité de détection des équipes de défense. Si le red team est détecté trop tôt, l'exercice perd une partie de sa valeur.
-
Tous les vecteurs sont possibles : le red team peut utiliser l'ingénierie sociale (phishing ciblé, appels téléphoniques), l'intrusion physique (tailgating, accès à des locaux), les attaques sur la supply chain, en plus des techniques d'exploitation classiques.
-
Adaptabilité : le red team adapte ses tactiques en fonction des défenses rencontrées. Si un chemin est bloqué, il en cherche un autre. Cette adaptabilité simule le comportement d'un attaquant réel persistant (type APT).
Livrables
Le livrable d'un exercice red team est un rapport narratif qui raconte l'histoire de l'attaque : comment l'équipe a obtenu l'accès initial, comment elle a progressé dans l'infrastructure, quelles défenses ont fonctionné, lesquelles ont échoué, et comment l'objectif a été atteint (ou non).
Ce rapport s'adresse à la direction et aux responsables sécurité (RSSI). Il met en lumière les faiblesses systémiques de l'organisation, pas seulement les vulnérabilités techniques isolées.
Les différences clés résumées
Périmètre. Le pentest a un périmètre technique défini et limité. Le red team a un périmètre organisationnel large.
Durée. Le pentest dure une à trois semaines. Le red team dure plusieurs semaines à plusieurs mois.
Objectif. Le pentest cherche le maximum de vulnérabilités. Le red team cherche un chemin d'attaque complet vers un objectif spécifique.
Discrétion. Le pentesteur peut être bruyant. Le red teamer doit rester indétecté.
Vecteurs. Le pentest est principalement technique. Le red team utilise aussi l'ingénierie sociale et l'intrusion physique.
Livrable. Le pentest produit une liste de vulnérabilités. Le red team produit un récit d'attaque avec des recommandations stratégiques.
Destinataire. Le rapport de pentest s'adresse aux équipes techniques. Le rapport de red team s'adresse à la direction et au RSSI.
Implications pour la formation
Ce que doit couvrir un cours de pentest
Un cours de pentest doit enseigner :
- Les méthodologies standards (OWASP Testing Guide, PTES, OSSTMM)
- La maîtrise des outils (Nmap, Burp Suite, Metasploit, BloodHound)
- L'exploitation de vulnérabilités courantes (web, réseau, Active Directory)
- La rédaction de rapports techniques professionnels
- La préparation aux certifications comme l'OSCP ou le CompTIA PenTest+
Les exercices pratiques se font sur des environnements contrôlés : machines vulnérables, labs dédiés, plateformes CTF. L'objectif pédagogique est la maîtrise technique.
Ce que doit couvrir un cours de red team
Un cours de red team suppose que les fondamentaux du pentest sont déjà acquis. Il se concentre sur :
- La planification d'opérations offensives sur le temps long
- Les techniques d'évasion (contournement d'antivirus, de pare-feu, d'EDR)
- L'ingénierie sociale avancée
- Le développement d'outils personnalisés (implants, C2, loaders)
- La rédaction de rapports orientés risque métier
- La coordination avec le blue team dans des exercices purple team
Le red team se positionne en fin de cursus, idéalement en Master 2 ou en formation spécialisée. Les prérequis sont importants : un étudiant qui n'a pas consolidé ses bases en réseau, en systèmes et en exploitation classique n'a pas les fondations pour progresser en red team.
La progression pédagogique recommandée
La progression naturelle dans un cursus de sécurité offensive est :
- Fondamentaux : réseau, systèmes d'exploitation, scripting (Python, Bash)
- Pentest : méthodologies, outils, exploitation sur périmètre défini
- Red team : opérations complètes, évasion, ingénierie sociale, temps long
Sauter des étapes produit des étudiants qui connaissent les termes mais pas les techniques. Un futur red teamer qui ne maîtrise pas les bases du pentest sera inefficace sur le terrain.
Le purple team : la convergence
Il existe une troisième approche, de plus en plus répandue : le purple team. Il ne s'agit pas d'une équipe distincte mais d'un mode de collaboration où le red team et le blue team travaillent ensemble pour améliorer les capacités de détection et de réponse.
En formation, les exercices purple team sont particulièrement formateurs : les étudiants "attaquants" et les étudiants "défenseurs" échangent en temps réel sur ce qui a fonctionné ou échoué des deux côtés. C'est un excellent moyen de développer une compréhension complète de la cybersécurité.
Ce qu'il faut retenir
Pentest et red team sont deux disciplines complémentaires mais distinctes. Les confondre dans un programme de formation conduit à des lacunes chez les étudiants. Le pentest est la fondation : il enseigne les techniques d'exploitation dans un cadre méthodique. Le red team est l'étage supérieur : il enseigne à penser comme un adversaire complet, au-delà de la seule dimension technique.
Un programme bien structuré enseigne d'abord le pentest, puis construit les compétences de red team par-dessus, en ajoutant la dimension stratégique, sociale et opérationnelle.
Vous cherchez un intervenant spécialisé en pentest ou en red team pour vos formations ? Cyber Teachers vous met en relation avec des professionnels capables d'enseigner ces disciplines avec la rigueur et le réalisme que vos étudiants méritent.