L'équipe rouge désigne un groupe prétendant être un ennemi. Ce groupe est missionné par une organisation pour effectuer une intrusion physique ou numérique contre celle-ci et produire un rapport afin que l'organisation puisse améliorer sa sécurité. Les équipes rouges sont embauchées par l'organisation. Leur travail est légal, mais peut surprendre les employés ignorants les activités de l'équipe rouge, ou trompés par celle-ci.
Certaines définitions de l'équipe rouge sont plus larges et incluent tout groupe, au sein d'une organisation, chargé de sortir des sentiers battus et d'examiner des scénarios alternatifs considérés comme moins plausibles, l'objectif étant de protéger une entreprise des fausses hypothèses et de la pensée de groupe.
L'équipe rouge se concentre sur l'attaque des réseaux informatiques. Elle peut faire face à une équipe bleue, un terme désignant les employés de la cybersécurité chargés de défendre l'organisation contre les attaques informatiques. Dans l'équipe rouge technique, des vecteurs d'attaque sont utilisés pour accéder au SI, puis une reconnaissance est effectuée pour découvrir d'autres dispositifs à compromettre. La recherche d'informations d'identification implique de parcourir un ordinateur à la recherche d'informations telles que des mots de passe et des cookies de session, et une fois ceux-ci trouvés, ils peuvent être utilisés pour compromettre d'autres ordinateurs. Lors d'intrusions de tiers, l'équipe rouge peut s'allier à l'équipe bleue défendre l'organisation. Les règles d'engagement et les procédures opérationnelles standard sont utilisées pour s'assurer que l'équipe rouge ne cause pas de dommages.
L'équipe rouge envoie une équipe pour accéder physiquement aux zones cibles, pour tester et optimiser la sécurité physique (clôtures, caméras, alarmes, serrures...) et le comportement des employés. Comme pour les équipes rouges techniques, des règles d'engagement sont utilisées pour qu'aucun dégât excessif ne soit causé pendant l'exercice. L'équipe rouge physique mène souvent une phase de reconnaissance lors de laquelle des informations sont recueillies, et des faiblesses de sécurité identifiées. Puis ces informations servent à préparer un essai d'intrusion (généralement de nuit) dans les locaux. Les dispositifs de sécurité seront identifiés et déjoués à l'aide d'outils et de techniques. Les équipes rouges physiques se voient attribuer des objectifs spécifiques tels que l'accès à une salle de serveurs et la prise d'un disque dur, ou l'accès au bureau d'un cadre et la prise de documents confidentiels.
Les équipes rouges sont utilisées dans plusieurs domaines, notamment la cybersécurité, la sécurité des aéroports, les forces de l'ordre, l'armée et les services de renseignement. Au sein du gouvernement des États-Unis, les équipes rouges sont utilisées par l'armée, le corps des marines, le ministère de la défense, la Federal Aviation Administration et la Transportation Security Administration. Elles sont aussi présentes dans le domaine de la cybersécurité et l'évaluation des modèles frontières de l'intelligence artificielle.
Histoire Les concepts d'équipe rouge et d'équipe bleue sont apparus au début des années 1960 aux États-Unis. L'un des premiers exemples d'équipe rouge impliquait le groupe de réflexion RAND Corporation, qui effectuait des simulations pour l'armée américaine pendant la guerre froide. L' et la couleur rouge sont utilisées pour représenter l'Union soviétique, et l' et la couleur bleue sont utilisées pour représenter les États-Unis. Un autre exemple précoce concernait le secrétaire américain à la Défense Robert McNamara, qui réunit une équipe rouge et une équipe bleue pour déterminer quel entrepreneur gouvernemental devrait se voir attribuer un contrat d'avion expérimental. Un autre exemple précoce modela la négociation d'un traité de maîtrise des armements et l'évaluation de son efficacitéZenko, p. 56.
Les équipes rouges sont parfois associées à la et à la lutte contre la pensée de groupe, c'est-à-dire la tendance des groupes à faire et à conserver des hypothèses même face à des preuves du contraire. Un exemple d'un groupe qui n'a pas été appelé équipe rouge, mais a sans doute été l'un des premiers exemples de formation pour lutter contre la pensée de groupe, est l'Israélien Ipcha Mistabra qui fut formé après les échecs de prise de décision israéliens pendant la guerre du Yom Kippour en 1973. L'attaque contre Israël prend le pays par surprise en dépit des nombreuses preuves d'une attaque imminente, et aboutit presque à la défaite du pays. L'unité Ipcha Mistabra est formée après la guerre et se voit confier le devoir de toujours présenter une analyse contrariante, inattendue ou peu orthodoxe des rapports de politique étrangère et de renseignement, afin que les choses soient moins susceptibles d'être négligées à l'avenirHoffman, p. 37.
Au début des années 2000, il existe des exemples d'équipes rouges utilisées pour des exercices sur table. Un exercice sur table est souvent utilisé par les premiers intervenants et implique d'agir et de planifier les pires scénarios, comme si vous jouiez à un jeu de société sur table. En réponse aux attentats du 11 septembre, avec l'antiterrorisme à l'esprit, la Central Intelligence Agency créé une nouvelle cellule rougeHoffman, p. 39, et des équipes rouges sont utilisées pour modéliser les réponses à la guerre asymétrique comme le terrorismeZenko, p. 57. En réponse aux échecs de la guerre en Irak, les équipes rouges deviennent courantes dans l'armée américaineHoffman, p. 32.
Au fil du temps, l'usage d'équipe rouge s'est étendue à d'autres industries et organisations, y compris les entreprises, les agences gouvernementales et les organisations à but non lucratif. L'approche est devenue de plus en plus populaire dans le monde de la cybersécurité, où les équipes rouges sont utilisées pour simuler des attaques réelles contre l'infrastructure numérique d'une organisation et tester l'efficacité de leurs mesures de cybersécurité.
Cybersécurité L'équipe rouge teste la sécurité numérique d'une organisation en tentant d'infiltrer numériquement ses réseaux informatiques.
Terminologie L'équipe bleue est un groupe chargé de défendre l'organisation contre les intrusions.
En cybersécurité, un test d'intrusion implique des pirates éthiques () qui tentent de s'introduire dans le système informatique, sans éléments de surprise. L'organisation est au courant du test d'intrusion et est prête à monter une défense.
L'équipe rouge va plus loin et ajoute l'intrusion physique, l'ingénierie sociale et la surprise. L'équipe bleue n'est pas avertie à l'avance des opérations de l'équipe rouge et la traitera comme une véritable intrusion. L'un des rôles d'une équipe rouge est d'améliorer la culture de sécurité de l'organisationRehberger, p. 3.
L'équipe violette est la combinaison temporaire des deux équipes et peut fournir des réponses d'information rapides lors d'un test. L'un des avantages de l'équipe violette est que l'équipe rouge peut lancer certaines attaques à plusieurs reprises, et l'équipe bleue peut l'utiliser pour configurer un logiciel de détection, le calibrer et augmenter régulièrement le taux de détectionRehberger, p. 66. Les équipes violettes peuvent s'engager dans des sessions de , où l'équipe rouge et l'équipe bleue recherchent de véritables intrus. L'implication d'autres employés dans l'équipe violette est également bénéfique : par exemple, des ingénieurs en logiciel peuvent aider à la journalisation et aux alertes logicielles, et des responsables peuvent aider à identifier les scénarios les plus dommageables sur le plan financierRehberger, p. 68. L'un des dangers de l'équipe violette est la complaisance et le développement d'une pensée de groupe, qui peuvent être combattus en embauchant des personnes ayant des compétences différentes ou en engageant un fournisseur externeRehberger, p. 72.
L'équipe blanche est un groupe supervisant et gérant les opérations entre les équipes rouges et les équipes bleues. Il peut s'agir par exemple des managers d'une entreprise déterminant les règles d'engagement de l'équipe rouge.
L'attaque Le point d'entrée initial d'une équipe rouge ou d'un adversaire s'appelle la . Une équipe bleue mature est souvent qualifiée pour trouver la tête de pont et expulser les attaquants. Le rôle de l'équipe rouge est d'augmenter les compétences de l'équipe bleueRehberger, pp. 40–41.
Lors de l'infiltration, il est possible d'adopter une approche furtive qui reste sous le radar de l'équipe bleue et nécessitant un objectif clair. Il est aussi possible d'adopter une approche bruyante de ressemblant plus à une attaque par force brute. L'approche est souvent l'approche la plus utile pour les équipes rouges, car permettant de découvrir des vulnérabilités inattenduesRehberger, p. 44.
Il existe une grande variété de menaces de cybersécurité. Les menaces peuvent aller du classique piratage du contrôleur de domaine du réseau à la mise en place d'un mineur de crypto-monnaie, ou à l'allocation de trop d'accès aux donnes personnelles aux employés, ce qui expose l'entreprise à des amendes au titre du RGPDRehberger, p. 117. Chacune de ces menaces peut être testée par une équipe rouge afin d'explorer la gravité du problème. Les exercices sur table, où les intrusions sont organisées de la manière dont on jouerait à un jeu de société, peuvent être utilisées pour simuler des intrusions trop coûteuses, trop compliquées ou illégales pour être exécutées en directRehberger, p. 132. Il peut être utile de tenter des intrusions contre l'équipe rouge et l'équipe bleue, en plus des cibles plus traditionnellesRehberger, p. 127. alt=Diagram of a graph database. Contains three circles with text inside them and lines with arrows between them.|vignette| Un exemple de base de données de graphes. Pour les équipes rouges, ce logiciel peut être utilisé pour créer une carte d'un réseau infiltré. Les nœuds (les cercles) sont généralement des ordinateurs, des utilisateurs ou des groupes d'autorisation. Une fois l'accès à un réseau obtenu, une reconnaissance peut être effectuée. Les données recueillies peuvent être placées dans une base de données graphique : un logiciel retraçant visuellement les nœuds, les relations et les propriétés. Les nœuds typiques sont les ordinateurs, les utilisateurs ou les groupes d'autorisationsRehberger, p. 140. Les équipes rouges ont généralement de très bonnes bases de données graphiques de leur propre organisation, car elles peuvent utiliser l'avantage du terrain, notamment en travaillant avec l'équipe bleue pour créer une carte complète du réseau et une liste complète des utilisateurs et des administrateursRehberger, p. 138. Un langage de requête tel que Cypher peut être utilisé pour créer et modifier des bases de données de graphesRehberger, p. 165. Les comptes d'administrateurs sont des éléments centraux à placer dans la base de données de graphes, y compris les administrateurs d'outils tiers tels qu'Amazon Web Services (AWS)Rehberger, p. 178. Les données sont parfois exportées à partir d'outils puis insérées dans la base de données de graphesRehberger, p. 180.