Red team vs pentest : quelle différence, quand choisir et budget type
Red team, pentest et purple team sont souvent confondus et mal vendus. Les trois approches ont des objectifs, des durées, des profils d'équipe et des livrables très différents. Ce guide cadre ce qui les distingue vraiment, quand chacune est pertinente, et les fourchettes budgétaires observées sur le marché français.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Les trois dimensions qui distinguent red team et pentest
La première dimension est l'objectif : un pentest cherche à identifier et documenter des vulnérabilités techniques sur un périmètre défini (une application, une API, une infrastructure). Un red team simule un adversaire qui poursuit un objectif métier concret (exfiltrer un dataset client, compromettre un processus de signature, détourner des fonds). La deuxième dimension est la visibilité : un pentest est connu des équipes techniques avec des règles d'engagement explicites et un calendrier partagé, tandis qu'un red team se déroule en aveugle pour la blue team, avec une cellule restreinte de 2-3 personnes seulement au courant. La troisième dimension est la mesure : un pentest produit une liste de findings priorisés, un red team produit en plus une mesure de la capacité de détection-réaction (MTTD, MTTR) et un diagnostic de la maturité opérationnelle du SOC.
Durée, équipe, budget : les ordres de grandeur
Un pentest applicatif Laucked sur une application web avec API et back-office dure typiquement 8-15 jours avec un pentester senior et un reviewer. Les fourchettes observées sur le marché français pour ce type de mission sont de 15 à 60 k€ selon la profondeur et la criticité. Un red team complet sur une organisation de 200-2000 personnes mobilise une équipe de 2-3 opérateurs seniors pendant 10-16 semaines et coûte entre 80 et 250 k€ sur le marché. Un purple team ciblé sur un jeu de TTP MITRE ATT&CK (phase reconnaissance + access + lateral movement) prend 2-3 semaines à 25-40 k€. Chiffrage Laucked systématiquement sur devis après atelier de cadrage technique pour capter les spécificités du SI.
Le framework MITRE ATT&CK comme langage commun
MITRE ATT&CK est devenu le référentiel commun pour décrire les techniques adverses, depuis la reconnaissance initiale jusqu'à l'impact final. Il structure 14 tactiques (reconnaissance, resource development, initial access, execution, persistence, privilege escalation, defense evasion, credential access, discovery, lateral movement, collection, command and control, exfiltration, impact) et des centaines de techniques et sous-techniques associées. En pentest applicatif, ATT&CK est utilisé comme grille de lecture pour cartographier la chain d'attaque simulée. En red team, il structure le scénario de bout en bout. En purple team, il devient le plan de travail explicite : chaque TTP est simulé, la détection est testée, les gaps sont documentés. Laucked documente systématiquement les findings avec la référence ATT&CK associée, y compris sur les pentests classiques.
Quand privilégier le pentest applicatif profond
Le pentest applicatif est le bon outil dans 80% des contextes PME, scale-up et ETI. Il est pertinent dès qu'une entreprise a un produit en production qui porte du risque business (SaaS B2B, API multi-tenant, portail client, logiciel médical, plateforme fintech). Il est indispensable avant un grand contrat B2B, une levée de fonds, une certification ISO 27001, une certification HDS, un référencement Ségur, un audit assurance cyber. Il est aussi le bon choix pour les équipes produit qui veulent des retours exploitables — un pentest produit des preuves reproductibles et un plan de remédiation lisible par les développeurs. Laucked livre ce type de mission sous 48-72h après fin des tests avec re-test inclus selon le format.
Quand le red team devient le bon choix
Le red team est pertinent quand trois conditions sont réunies : (1) l'organisation dispose d'un SOC interne ou managé actif, avec au minimum un SIEM opérationnel et une rotation 24/7 (sinon aucune détection ne sera possible et le test perd son sens); (2) l'entreprise est régulée ou soumise à un cadre qui demande une démonstration de résilience (banque/assurance sous DORA, opérateur d'importance vitale, entité NIS2 essentielle); (3) la surface d'attaque est assez large pour que l'exhaustivité d'un pentest classique soit inatteignable (grande organisation, multi-sites, multi-cloud, héritage multi-technologique). En dessous de ces seuils, un pentest applicatif profond + un exercice purple team donne un meilleur retour sur investissement qu'un red team.
Le purple team : l'exercice le plus sous-utilisé
Le purple team est probablement l'exercice sécurité le plus sous-estimé en France. Il combine les atouts des deux approches : la qualité offensive d'un red team et la transparence collaborative qui permet d'améliorer immédiatement la détection. Une mission purple team typique se déroule en 2-3 semaines : atelier de sélection des TTP ATT&CK à tester (souvent 10-20 techniques critiques), exécution en salle commune avec le SOC, validation de la télémétrie disponible (logs, alertes EDR, télémétrie SIEM), tuning des règles et documentation des gaps résiduels. C'est particulièrement puissant pour un SOC jeune ou pour une équipe qui vient de déployer un nouveau SIEM/EDR. Laucked recommande un purple team semestriel en complément d'un pentest annuel, notamment dans les contextes DORA et NIS2.
Cadrer le bon format avec Laucked
Atelier de cadrage de 45 minutes pour trancher entre pentest applicatif, red team et purple team selon votre contexte, votre maturité et vos enjeux. Diagnostic de surface gratuit avant tout devis.
Cadrer un atelier gratuit