Rédaction de rapports d’équipe rouge

Un rapport d’équipe rouge communique à la direction le risque métier des vulnérabilités identifiées (résumé exécutif), permet aux défenseurs de reproduire les constatations et d’améliorer la détection (détails techniques), et fournit un plan d’action pour la correction (recommandations).

Structure standard d’un rapport d’équipe rouge :

1. Page de couverture et définition du périmètre
2. Résumé exécutif
3. Vue d’ensemble de la méthodologie
4. Récit de l’attaque / chaîne d’attaque
5. Liste des constatations avec niveaux de gravité
6. Détails techniques pour chaque constatation
7. Recommandations et feuille de route
8. Annexes : preuves, IOCs et liste des outils

Rédigez le résumé exécutif en dernier. Il doit présenter :

• Les objectifs et le périmètre de la mission
• Les constatations clés en termes métier (« nous avons obtenu un accès d’administrateur du domaine en 4 heures »)
• L’évaluation globale du niveau de risque
• Les trois principales priorités de correction

Aucun jargon. Partez du principe que le lecteur est un cadre non technique.

Le récit de l’attaque raconte chronologiquement le déroulement de la mission :

1. Vecteur d’accès initial (comment le premier point d’appui a été obtenu)
2. Persistance et découverte
3. Étapes d’élévation des privilèges
4. Parcours du déplacement latéral
5. Objectifs atteints (données consultées, domaine compromis)

Associez chaque étape aux identifiants de techniques MITRE ATT&CK correspondants.

Chaque constatation doit inclure :

• Titre : nom clair et précis
• Gravité : Critique/Élevée/Moyenne/Faible/Info (avec un score CVSS le cas échéant)
• Description : ce qui a été découvert
• Impact : risque métier en cas d’exploitation
• Étapes de reproduction : preuve technique détaillée
• Preuves : captures d’écran et journaux
• Recommandation : correction précise

CVSS (système commun de notation des vulnérabilités) fournit un score de gravité normalisé de 0 à 10. Composants : vecteur d’attaque, complexité, privilèges requis, interaction utilisateur, périmètre et impact sur la confidentialité, l’intégrité et la disponibilité. Utilisez CVSS 3.1 pour garantir des évaluations de gravité cohérentes et défendables.

Associez chaque technique utilisée à ATT&CK afin de fournir aux défenseurs des renseignements exploitables :

• T1566.001 — Pièce jointe d’hameçonnage ciblé (accès initial)
• T1059.001 — PowerShell (exécution)
• T1003.001 — Mémoire LSASS (accès aux identifiants)

La cartographie ATT&CK aide les équipes de défense à rédiger des règles de détection pour les tactiques, techniques et procédures observées.

Les captures d’écran doivent inclure :

• La date et l’heure visibles dans le terminal
• Le nom d’hôte du système compromis
• La commande et sa sortie complète
• Aucun recadrage supprimant le contexte

Annotez les captures d’écran pour mettre en évidence l’élément critique. Les preuves authentifient les constatations.

De bonnes recommandations sont :

• Spécifiques : « Activez AMSI pour PowerShell et le mode de langage restreint », plutôt que « améliorez la sécurité »
• Hiérarchisées : précisent les mesures à traiter en premier selon le risque
• Concrètes : le lecteur sait exactement quoi faire
• Réalistes : tiennent compte des contraintes opérationnelles

Une présentation de bilan en direct complète le rapport écrit. Présentez au client le récit de l’attaque avec des captures d’écran en direct, montrez comment il aurait pu détecter chaque étape et répondez aux questions. Cette présentation est souvent plus efficace que le rapport écrit pour susciter le changement.

Les rapports de l’équipe rouge contiennent des informations sensibles sur les vulnérabilités. Traitez-les en conséquence :

• Chiffrez le rapport (PGP ou PDF protégé par mot de passe)
• Transmettez-le par un canal sécurisé
• Limitez sa diffusion aux personnes qui en ont besoin
• Définissez une politique de conservation et de destruction des rapports
• N’envoyez jamais de rapports non chiffrés par courriel

Les rapports de l’équipe rouge s’adressent à trois publics : métier (résumé exécutif), technique (récit de l’attaque et constatations) et défensif (cartographie ATT&CK). Chaque constatation comprend sa gravité, son impact, les étapes de reproduction, les preuves et des recommandations précises. La cartographie MITRE ATT&CK transforme les constatations offensives en possibilités de détection défensive. Chiffrez les rapports et traitez-les comme des documents sensibles.