Exemple de mission

Purple Team : améliorer les détections après un pentest interne

À la suite d’un pentest interne, nous avons travaillé avec le RSSI et les administrateurs pour analyser les alertes, ajuster certaines règles et identifier les détections à renforcer.

Organisation du secteur public

Postes et serveurs Windows, protections EDR et surveillance par un centre opérationnel de sécurité (SOC)

Purple Team

Contexte et résultats adaptés à des fins d’illustration et de confidentialité.

Contexte de la mission

Le défi

Contexte

L’organisation disposait de solutions EDR pour protéger ses postes et ses serveurs ainsi que d’un SOC chargé de surveiller les événements de sécurité.

Nous avons réalisé un test d’intrusion interne sans que le SOC soit prévenu de l’intervention. La mission visait à identifier des vulnérabilités et des chemins d’attaque, sans objectif particulier de discrétion.

À la suite du pentest, nous avons analysé les alertes avec le RSSI et les administrateurs. Cette démarche Purple Team a permis de rapprocher les actions du pentest des alertes disponibles pour comprendre les écarts et travailler sur les règles de détection.

Objectifs

Comprendre quelles actions du pentest avaient été détectées
Examiner la réaction du SOC aux activités observées
Identifier les comportements nécessitant une meilleure détection
Exploiter les résultats du pentest pour améliorer la surveillance

Déroulement

Découvertes clés

Périmètre testé

Postes et serveurs concernés par les actions du pentest
Alertes disponibles dans les solutions EDR
Réaction du SOC aux activités réalisées
Opérations d’extraction de données sensibles et règles de détection associées

Méthodologie

Nous avons repris les actions du pentest avec le RSSI et les administrateurs pour examiner leur visibilité dans les outils de sécurité.

Revue des actions réalisées et des équipements concernés
Recherche des alertes correspondantes dans les consoles EDR
Analyse des actions détectées et de celles sans alerte identifiée
Examen des règles existantes et travail avec les équipes sur les ajustements

Priorités d’amélioration

Prioritaire

Réaction tardive du SOC aux activités du pentest

Le SOC a réagi tardivement aux activités du pentest. À la demande de l’organisation, il a ensuite fourni un rapport de traçabilité sur les activités du pentest.

Prioritaire

Détection à renforcer pour certaines opérations d’extraction

Lors de la revue avec les équipes, nous n’avons pas identifié d’alerte correspondant aux opérations d’extraction de données protégées par DPAPI, un mécanisme de protection de Windows.

Ce constat a fait ressortir un besoin de vérification des événements disponibles et des règles applicables aux équipements concernés.

Résultats

Bilan et recommandations

Bilan

Des règles de détection ajustées et des besoins de surveillance mieux identifiés.

L’analyse conjointe a permis de compléter les résultats du pentest par une revue des alertes produites pendant l’intervention. Certaines actions avaient été signalées tandis que d’autres n’ont pas été retrouvées dans les alertes examinées avec les équipes.

Le travail avec le RSSI et les administrateurs a permis d’ajuster certaines règles et d’identifier les détections restant à renforcer. De son côté, l’organisation a obtenu du SOC un rapport de traçabilité sur les activités du pentest.

Recommandations

Vérifier les événements disponibles pour détecter les opérations testées sur les données protégées par DPAPI
Compléter les règles de détection avec les responsables des outils à partir des écarts observés
Rejouer les actions concernées pour vérifier l’efficacité des ajustements

Enseignements

Leçons apprises

La réaction tardive du SOC a conduit l’organisation à demander un rapport de traçabilité sur les activités du pentest.
La revue avec les administrateurs a permis de relier les actions offensives aux alertes disponibles puis d’utiliser ces observations pour ajuster certaines règles.

Cette démarche complète la correction des vulnérabilités pour renforcer la sécurité du réseau interne.