Mener un exercice de purple team

Un exercice d’équipe violette est un processus structuré, et non une séance de piratage improvisée. Il suit un cycle de vie reproductible :

• Planifier — choisir les objectifs, le périmètre et les techniques
• Préparer — vérifier la télémétrie, les outils et l’autorisation
• Exécuter — appliquer les techniques et observer en direct
• Analyser — classer les résultats et consigner les lacunes
• Améliorer — ajuster les détections et réaliser une nouvelle évaluation
• Rendre compte — consigner les métriques et les actions

Le fait de le considérer comme un cycle de vie rend les résultats comparables au fil du temps.

Commencez par un objectif clair fondé sur les menaces. Des objectifs vagues (« évaluer notre sécurité ») produisent des résultats vagues.

Les bons objectifs sont précis et mesurables :

• Valider la détection des techniques d’accès aux identifiants utilisées par des affiliés à des rançongiciels
• Confirmer la visibilité sur l’ensemble de la tactique de mouvement latéral
• Mesurer le délai moyen de détection d’une chaîne d’intrusion connue

Rattachez l’objectif à un acteur malveillant ou à un scénario de menace réel et pertinent pour votre organisation, afin que les techniques évaluées soient celles auxquelles vous risquez d’être confronté.

Transformez l’objectif en une liste ordonnée de techniques accompagnées de procédures concrètes. C’est votre plan d’émulation.

Chaque entrée doit indiquer l’ID de la technique, la procédure, la télémétrie attendue et l’hypothèse évaluée :

• Technique : T1003.001 Mémoire LSASS
• Procédure : extraire la mémoire de LSASS à l’aide d’un outil d’évaluation inoffensif
• Télémétrie attendue : ID d’événement Sysmon 10 (accès d’un processus à lsass.exe)
• Hypothèse : EDR déclenche une alerte en cas d’accès non autorisé à un descripteur de LSASS

Avant toute exécution, obtenez une autorisation écrite et documentez les règles d’engagement (ROE). Cela protège l’équipe sur les plans juridique et opérationnel.

• Périmètre défini : hôtes, réseaux et comptes concernés
• Fenêtres temporelles et condition d’arrêt claire
• Techniques approuvées et techniques interdites
• Contacts d’urgence et signal d’interruption
• Gestion des données : n’exfiltrez jamais de données sensibles réelles

Même une évaluation menée en coopération peut déclencher des alarmes ou perturber des services ; les ROE doivent donc être explicites et approuvées par les parties prenantes.

Vérifiez que les éléments fondamentaux fonctionnent avant la session en direct ; sinon, vous perdrez votre temps à déboguer la journalisation.

• Vérifiez que les agents des terminaux et Sysmon sont déployés et transmettent des données
• Confirmez que les journaux parviennent au SIEM avec une latence acceptable
• Préparez les outils d’émulation (Atomic Red Team, Caldera)
• Préparez des requêtes SIEM enregistrées pour chaque artefact attendu

Une vérification rapide, comme celle qui consiste à contrôler qu’un événement connu apparaît, valide la chaîne de traitement avant le début des techniques réelles.

Pendant l’exécution, appliquez une seule technique à la fois dans une fenêtre contrôlée afin que la cause et l’effet soient sans ambiguïté. L’équipe rouge décrit l’action à voix haute et note l’horodatage exact.

Par exemple, en exécutant une évaluation Atomic pour la persistance via une tâche planifiée :

Immédiatement après l'exécution, l'équipe bleue exécute la requête préparée et consigne ce qu'elle observe. Classez explicitement le résultat :

• Empêchée — l'action a été entièrement bloquée
• Signalée — une détection s'est déclenchée
• Journalisée uniquement — des preuves existent, mais aucune alerte
• Aucune télémétrie — rien n'a été capturé

Consignez les horodatages de l'action et de l'alerte afin de pouvoir calculer ensuite le délai de détection.

De nombreux outils d'émulation créent des artefacts : tâches planifiées, clés de registre, fichiers ou comptes. Nettoyez après chaque technique afin de conserver un environnement sain et d'éviter de fausses détections ultérieures.

Atomic Red Team fournit des commandes de nettoyage :

La caractéristique essentielle d'un exercice d'équipe violette consiste à corriger les lacunes au cours de la même session. Lorsqu'une technique n'est pas détectée, l'ingénieur chargé de la détection rédige une règle, puis l'équipe réexécute la technique pour confirmer qu'elle se déclenche désormais.

• Lacune constatée : la création de tâches planifiées ne déclenche aucune alerte
• Rédigez une règle pour l'ID d'événement 4698 (création de tâche) avec des motifs suspects
• Réexécutez le test Atomic
• Confirmez que la nouvelle règle se déclenche, puis consignez le succès

Cette itération immédiate est bien plus efficace que le report des corrections dans une liste de tâches en attente.

La rigueur de la consignation est ce qui rend l'exercice utile par la suite. Pour chaque technique, consignez un résultat structuré :

• ID de la technique et procédure
• Résultat (empêché / signalé / journalisé / aveugle)
• Source de données observée
• Règle de détection qui s'est déclenchée (ou nouvelle règle créée)
• Délai de détection et éventuelle action de suivi

Des outils comme VECTR stockent ces résultats et vous permettent de comparer les exécutions au fil du temps afin de montrer une amélioration mesurable.

Terminez l'exercice par un bilan tant que les détails sont encore frais. Le résultat doit être une liste hiérarchisée et exploitable, pas un mur de texte.

• Ce qui a été détecté, manqué et nouvellement couvert
• Lacunes de détection classées selon le risque et la probabilité
• Responsables et dates d'échéance pour chaque correction
• Techniques à revalider lors du prochain cycle

Transmettez les éléments en attente de la liste de détection à l'équipe d'ingénierie et planifiez la prochaine exécution. L'exercice ne porte ses fruits que si les actions sont effectivement mises en œuvre.

Vous pouvez maintenant exécuter un exercice d'équipe violette de bout en bout :

• Suivez le cycle de vie planifier, préparer, exécuter, analyser, améliorer, rendre compte
• Définissez des objectifs fondés sur les menaces et un plan d'émulation concret
• Obtenez l'autorisation et le ROE, puis vérifiez d'abord la télémétrie
• Exécutez une technique à la fois, observez en direct et classez les résultats
• Nettoyez les artefacts et comblez les lacunes pendant la session
• Consignez les résultats structurés et terminez par une transmission hiérarchisée

Vous apprendrez ensuite à mesurer la couverture et à combler les lacunes de détection grâce à des métriques qui favorisent l'amélioration.