--- id: CP-247 slug: pentest-red-team-blue-team-purple-team lang: fr title: Pentest, Red Team, Blue Team et Purple Team description: "Test d'intrusion, exercice d'attaque simulée, équipes de défense : ce que ces mots désignent et quoi faire si vous voyez un comportement suspect." canonical_url: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Pentest, Red Team, Blue Team et Purple Team », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ (CC BY 4.0) wing: 3 theme: report_incidents reflex: cr-014 schema: G4 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ en: https://startbrain.io/cyberpedia/en/articles/pentest-red-blue-purple-team/ de: https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/ es: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ sources: - "n": 1 title: Penetration testing publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/penetration-testing published: "2017-08-08" accessed: "2026-11-03" - "n": 2 title: Technical Guide to Information Security Testing and Assessment publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/115/final accessed: "2026-11-03" - "n": 3 title: Incident management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/incident-management published: "2019-09-19" accessed: "2026-11-03" - "n": 4 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 5 title: Computer Security Incident Handling Guide publisher: NIST url: https://www.nist.gov/publications/computer-security-incident-handling-guide published: "2012-08-06" accessed: "2026-11-03" - "n": 6 title: "Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/61/r3/final accessed: "2026-11-03" - "n": 7 title: MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/ accessed: "2026-11-03" - "n": 8 title: MITRE D3FEND Knowledge Graph publisher: MITRE url: https://d3fend.mitre.org/ accessed: "2026-11-03" --- # Pentest, Red Team, Blue Team et Purple Team Dans une entreprise, on entend parler de pentest, de Red Team, de Blue Team ou de Purple Team. Ces mots décrivent des activités de test et de défense menées par des spécialistes. Pour un salarié, ils servent surtout à une chose : savoir qu'un comportement étrange sur son poste ou dans sa messagerie peut venir d'un exercice autorisé, d'une vraie attaque, ou d'une simple panne, et que dans les trois cas il faut le signaler. Les sources réunies pour cette fiche décrivent précisément le test d'intrusion et la gestion des incidents. Elles ne définissent pas les termes Red Team, Blue Team et Purple Team. La fiche s'en tient donc à ce que ces sources disent, et ne leur prête rien de plus. ## En 30 secondes - Où ça arrive : sur votre messagerie ou votre poste, quand quelque chose sort de l'ordinaire, que le test soit annoncé ou non. - Ce que veut l'attaquant : dans un test d'intrusion, le testeur utilise les mêmes outils et techniques qu'un adversaire pour vérifier la solidité d'un système [1]. - Le réflexe : signalez vite au support ou au SOC ce qui vous paraît suspect, sans en parler à l'auteur présumé et sans éteindre le poste tant qu'on ne vous l'a pas demandé. - Si c'est déjà fait : racontez précisément ce que vous avez vu, à quel moment, et ce que vous avez cliqué ou saisi. ## Questions directes ### Qu'est-ce qu'un pentest ? Le NCSC britannique le définit comme une méthode pour s'assurer de la sécurité d'un système informatique en tentant d'en franchir une partie ou la totalité, avec les outils et techniques qu'utiliserait un adversaire [1]. Il le compare à un audit financier : l'équipe interne suit les dépenses au jour le jour, et un audit externe vérifie que ses procédures suffisent [1]. Le NIST publie de son côté un guide technique sur la préparation et la conduite de tests de sécurité, l'analyse des résultats et les mesures correctives. Parmi les usages cités : chercher des failles dans un système ou un réseau, et vérifier le respect d'une politique de sécurité [2]. ### Que fait la Red Team, que fait la Blue Team, et la Purple Team ? Aucune des sources citées ici ne définit ces trois noms. Ce que le NCSC décrit, c'est un test par scénarios qui vise aussi à mesurer la capacité de détection et de réponse de l'organisation, pour en connaître l'efficacité et la couverture dans un scénario donné [1]. Côté salarié, c'est la détection qui vous concerne : votre signalement en fait partie. Deux bases de connaissances de MITRE servent de repères communs. ATT&CK recense des tactiques et techniques d'adversaires tirées d'observations réelles [7]. D3FEND est un graphe de connaissances de contre-mesures de cybersécurité [8]. ### Un test peut-il perturber mon travail ? Le NCSC écrit que les testeurs doivent éviter de gêner le système testé, mais qu'il est impossible de garantir qu'aucune réaction inattendue ne se produira [1]. Un ralentissement ou un comportement bizarre peut donc se produire pendant un test. Dans le doute, signalez-le au support ou au SOC. ### Pourquoi mon signalement compte-t-il ? Le signalement est une étape de la détection. Le NCSC présente la gestion d'incident comme un cycle en cinq temps repris du NIST : identifier, protéger, détecter, répondre, rétablir [3]. Sa collection de conseils range la détection et la notification parmi les enjeux de base de la réponse à incident [3]. Le NIST rappelle qu'une capacité de réponse sert à détecter rapidement les incidents, à limiter les pertes et la destruction, à corriger les faiblesses exploitées et à rétablir les services [5]. ## Comment ça marche Un test d'intrusion suit en général un schéma en cinq étapes : prise de contact, cadrage, tests, rapport et suivi. Les problèmes trouvés reçoivent un niveau de gravité [1]. Le cadrage fixe les limites techniques, les types de tests attendus et le calendrier [1]. Le rapport liste les failles, le niveau de risque de chacune et une façon de les corriger [1]. Les testeurs peuvent connaître le système à l'avance ou non. Dans un test en boîte fermée, aucune information interne ne leur est donnée : le test se fait de l'extérieur et reproduit mieux le risque venant d'attaquants inconnus de l'organisation [1]. Dans un test en boîte ouverte, ils disposent de toute l'information sur la cible [1]. Le NCSC ajoute que la connaissance du test donnée aux administrateurs varie aussi d'un test à l'autre [1]. Un pentest a des limites. Il ne valide que l'absence de failles connues le jour du test, et un an ou plus peut s'écouler entre deux tests [1]. La détection par les salariés et par l'équipe de sécurité reste donc utile entre deux tests. Ensuite vient la réponse à incident. Le NIST a publié en avril 2025 la révision 3 de son guide, qui replace la réponse à incident dans la gestion globale du risque décrite par le Cybersecurity Framework 2.0 [4][6]. Elle vise à mieux préparer les réponses, à réduire le nombre et l'impact des incidents, et à améliorer la détection, la réponse et le rétablissement [6]. ## Ce que vous faites Le texte suivant est une consigne pratique, pas un fait tiré d'une source : la procédure de votre entreprise prévaut toujours. - Signalez dès que quelque chose vous semble anormal. Passez par le support ou le SOC, selon ce que votre entreprise indique. - Décrivez les faits : heure, ce qui s'affichait, ce que vous avez ouvert ou saisi. Un détail qui paraît mineur peut aider l'équipe à relier plusieurs signaux. - Ne répondez pas à l'expéditeur d'un message suspect et ne confrontez pas la personne dont vous soupçonnez l'action. - N'éteignez pas le poste tant qu'on ne vous l'a pas demandé, et attendez les consignes du support ou du SOC. - Si vous apprenez ensuite qu'il s'agissait d'un exercice, le signalement n'était pas inutile : il a fait fonctionner la chaîne de détection. ## Les pièges Croire qu'un exercice est une vraie attaque, ou l'inverse. Comme les testeurs peuvent n'avoir reçu aucune information interne et que le niveau de connaissance du test chez les administrateurs varie [1], la différence n'est pas forcément visible depuis votre poste. Signalez dans les deux situations. Ne pas signaler par crainte d'être blâmé. Le NCSC part du principe que les incidents peuvent et vont se produire, et que la préparation est ce qui aide à bien les gérer [3]. Signaler trop tard. Le NIST décrit l'objectif d'une capacité de réponse comme la détection rapide des incidents et la limitation des pertes [5]. Penser que la sécurité repose sur les testeurs. Le NCSC précise que l'évaluation des risques et les décisions de correction restent de la responsabilité de l'organisation, et que la réduction du risque est un processus métier qui ne doit pas être entièrement confié à l'équipe de test [1]. ## Sources 1. NCSC (Royaume-Uni), « Penetration testing », 8 août 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consulté le 3 novembre 2026) 2. NIST, « Technical Guide to Information Security Testing and Assessment ». https://csrc.nist.gov/pubs/sp/800/115/final (consulté le 3 novembre 2026) 3. NCSC (Royaume-Uni), « Incident management », 19 septembre 2019. https://www.ncsc.gov.uk/collection/incident-management (consulté le 3 novembre 2026) 4. NIST, « Cybersecurity Framework ». https://www.nist.gov/cyberframework (consulté le 3 novembre 2026) 5. NIST, « Computer Security Incident Handling Guide », 6 août 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consulté le 3 novembre 2026) 6. NIST, « Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile ». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « MITRE ATT&CK® ». https://attack.mitre.org/ (consulté le 3 novembre 2026) 8. MITRE, « MITRE D3FEND Knowledge Graph ». https://d3fend.mitre.org/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.