Le Centre national de cybersécurité du Royaume-Uni (NCSC) a publié des orientations sur la simulation d’adversaires, souvent appelée red teaming, décrivant comment les organisations peuvent utiliser cet exercice pour évaluer leur capacité à résister à des cyberattaques réalistes.
La simulation d’adversaires consiste pour des équipes autorisées à tenter d’atteindre des objectifs convenus qui, s’ils étaient atteints par un véritable attaquant, pourraient perturber des fonctions métier importantes. L’exercice vise à déterminer si les contrôles de sécurité peuvent empêcher, identifier et contenir des activités malveillantes, plutôt que de simplement recenser les faiblesses techniques.
Le NCSC distingue cette approche des tests d’intrusion conventionnels. Alors qu’un test d’intrusion cherche généralement à identifier des vulnérabilités dans l’ensemble des systèmes, la simulation d’adversaires examine l’efficacité des contrôles défensifs, de la supervision, du triage des incidents et de l’escalade dans des conditions proches d’une attaque.
Organisations concernées
Selon les orientations, cette méthode est particulièrement utile pour les organisations de taille moyenne et les grandes organisations qui disposent d’une compréhension mature de leur risque cyber. Les candidats doivent déjà avoir mis en place des mesures de protection établies, des évaluations des risques régulièrement révisées, ainsi que des capacités efficaces de journalisation, de supervision et de détection.
Elle peut être particulièrement pertinente pour les opérateurs d’infrastructures nationales critiques et les organismes gouvernementaux. Les organisations dont les environnements sont plus petits ou moins complexes, ou qui mettent encore en place leurs pratiques de sécurité fondamentales, pourraient d’abord tirer davantage profit d’autres services d’évaluation.
Déroulement des missions
Selon le NCSC, une mission classique dure environ huit à douze semaines, tandis qu’une évaluation complète à large spectre peut s’étendre sur environ 16 semaines. Le périmètre et la durée doivent refléter la taille et la complexité de l’organisation, ainsi que les objectifs convenus pour l’exercice.
Le NCSC préconise un modèle fondé sur les capacités plutôt qu’une approche limitée à l’imitation d’un groupe de menaces nommé ou à une liste fixe de scénarios d’attaque. Les équipes d’évaluation mènent des reconnaissances afin de comprendre le parc technologique de la cible, son exposition externe et les menaces probables, puis élaborent des plans d’attaque adaptés à ces conclusions.
- Préparation : Définir les objectifs, les autorisations, les règles d’engagement et les mesures de sécurité.
- Tests : Utiliser des techniques adverses contrôlées afin d’évaluer les capacités de prévention, de détection et de réponse.
- Rapport : Documenter les constats, les lacunes défensives et les priorités de remédiation pour les parties prenantes.
L’agence a également souligné que les prestataires responsables devraient intégrer des mesures de protection à leurs outils et processus afin de réduire le risque de préjudice pour les environnements des clients ou d’autres utilisateurs. Les prestataires externes peuvent obtenir une assurance au travers du programme Cyber Adversary Simulation du NCSC, qui évalue les fournisseurs selon les normes techniques de l’agence.