Cyberpediapar Brain
FRDEEN

Pentest, Red Team, Blue Team et Purple Team

Test d'intrusion, exercice d'attaque simulée, équipes de défense : ce que ces mots désignent et quoi faire si vous voyez un comportement suspect.

En 30 secondes

Où ça arrive
Sur votre messagerie ou votre poste, quand quelque chose sort de l'ordinaire, que le test soit annoncé ou non.
Ce que veut l'attaquant
Dans un test d'intrusion, le testeur utilise les mêmes outils et techniques qu'un adversaire pour vérifier la solidité d'un système1.
Le réflexe
Signalez vite au support ou au SOC ce qui vous paraît suspect, sans en parler à l'auteur présumé et sans éteindre le poste tant qu'on ne vous l'a pas demandé.
Si c'est déjà fait
Racontez précisément ce que vous avez vu, à quel moment, et ce que vous avez cliqué ou saisi.

De quoi parle-t-on

Dans une entreprise, on entend parler de pentest, de Red Team, de Blue Team ou de Purple Team. Ces mots décrivent des activités de test et de défense menées par des spécialistes. Pour un salarié, ils servent surtout à une chose : savoir qu'un comportement étrange sur son poste ou dans sa messagerie peut venir d'un exercice autorisé, d'une vraie attaque, ou d'une simple panne, et que dans les trois cas il faut le signaler.

Les sources réunies pour cette fiche décrivent précisément le test d'intrusion et la gestion des incidents. Elles ne définissent pas les termes Red Team, Blue Team et Purple Team. La fiche s'en tient donc à ce que ces sources disent, et ne leur prête rien de plus.

Questions directes

Qu'est-ce qu'un pentest ?

Le NCSC britannique le définit comme une méthode pour s'assurer de la sécurité d'un système informatique en tentant d'en franchir une partie ou la totalité, avec les outils et techniques qu'utiliserait un adversaire1. Il le compare à un audit financier : l'équipe interne suit les dépenses au jour le jour, et un audit externe vérifie que ses procédures suffisent1.

Le NIST publie de son côté un guide technique sur la préparation et la conduite de tests de sécurité, l'analyse des résultats et les mesures correctives. Parmi les usages cités : chercher des failles dans un système ou un réseau, et vérifier le respect d'une politique de sécurité2.

Que fait la Red Team, que fait la Blue Team, et la Purple Team ?

Aucune des sources citées ici ne définit ces trois noms. Ce que le NCSC décrit, c'est un test par scénarios qui vise aussi à mesurer la capacité de détection et de réponse de l'organisation, pour en connaître l'efficacité et la couverture dans un scénario donné1. Côté salarié, c'est la détection qui vous concerne : votre signalement en fait partie.

Deux bases de connaissances de MITRE servent de repères communs. ATT&CK recense des tactiques et techniques d'adversaires tirées d'observations réelles7. D3FEND est un graphe de connaissances de contre-mesures de cybersécurité8.

Un test peut-il perturber mon travail ?

Le NCSC écrit que les testeurs doivent éviter de gêner le système testé, mais qu'il est impossible de garantir qu'aucune réaction inattendue ne se produira1. Un ralentissement ou un comportement bizarre peut donc se produire pendant un test. Dans le doute, signalez-le au support ou au SOC.

Pourquoi mon signalement compte-t-il ?

Le signalement est une étape de la détection. Le NCSC présente la gestion d'incident comme un cycle en cinq temps repris du NIST : identifier, protéger, détecter, répondre, rétablir3. Sa collection de conseils range la détection et la notification parmi les enjeux de base de la réponse à incident3. Le NIST rappelle qu'une capacité de réponse sert à détecter rapidement les incidents, à limiter les pertes et la destruction, à corriger les faiblesses exploitées et à rétablir les services5.

1Comment ça marche2 min

Un test d'intrusion suit en général un schéma en cinq étapes : prise de contact, cadrage, tests, rapport et suivi. Les problèmes trouvés reçoivent un niveau de gravité1. Le cadrage fixe les limites techniques, les types de tests attendus et le calendrier1. Le rapport liste les failles, le niveau de risque de chacune et une façon de les corriger1.

Les testeurs peuvent connaître le système à l'avance ou non. Dans un test en boîte fermée, aucune information interne ne leur est donnée : le test se fait de l'extérieur et reproduit mieux le risque venant d'attaquants inconnus de l'organisation1. Dans un test en boîte ouverte, ils disposent de toute l'information sur la cible1. Le NCSC ajoute que la connaissance du test donnée aux administrateurs varie aussi d'un test à l'autre1. Un pentest a des limites. Il ne valide que l'absence de failles connues le jour du test, et un an ou plus peut s'écouler entre deux tests1. La détection par les salariés et par l'équipe de sécurité reste donc utile entre deux tests.

Ensuite vient la réponse à incident. Le NIST a publié en avril 2025 la révision 3 de son guide, qui replace la réponse à incident dans la gestion globale du risque décrite par le Cybersecurity Framework 2.046. Elle vise à mieux préparer les réponses, à réduire le nombre et l'impact des incidents, et à améliorer la détection, la réponse et le rétablissement6.

2Ce que vous faites1 min

Le texte suivant est une consigne pratique, pas un fait tiré d'une source : la procédure de votre entreprise prévaut toujours.

  • Signalez dès que quelque chose vous semble anormal. Passez par le support ou le SOC, selon ce que votre entreprise indique.
  • Décrivez les faits : heure, ce qui s'affichait, ce que vous avez ouvert ou saisi. Un détail qui paraît mineur peut aider l'équipe à relier plusieurs signaux.
  • Ne répondez pas à l'expéditeur d'un message suspect et ne confrontez pas la personne dont vous soupçonnez l'action.
  • N'éteignez pas le poste tant qu'on ne vous l'a pas demandé, et attendez les consignes du support ou du SOC.
  • Si vous apprenez ensuite qu'il s'agissait d'un exercice, le signalement n'était pas inutile : il a fait fonctionner la chaîne de détection.
3Les pièges1 min

Croire qu'un exercice est une vraie attaque, ou l'inverse. Comme les testeurs peuvent n'avoir reçu aucune information interne et que le niveau de connaissance du test chez les administrateurs varie1, la différence n'est pas forcément visible depuis votre poste. Signalez dans les deux situations.

Ne pas signaler par crainte d'être blâmé. Le NCSC part du principe que les incidents peuvent et vont se produire, et que la préparation est ce qui aide à bien les gérer3.

Signaler trop tard. Le NIST décrit l'objectif d'une capacité de réponse comme la détection rapide des incidents et la limitation des pertes5.

Penser que la sécurité repose sur les testeurs. Le NCSC précise que l'évaluation des risques et les décisions de correction restent de la responsabilité de l'organisation, et que la réduction du risque est un processus métier qui ne doit pas être entièrement confié à l'équipe de test1.

Fiche

Identifiant
CP-247
Aile
3. Protocoles et défense
Compétence Brain
Signaler les incidents (report_incidents)
Réflexe Brain
cr-014
Schéma
G4 · Chronologie d'incident (Autopsie)
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. NCSC (Royaume-Uni), « Penetration testing », 8 août 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consulté le 3 novembre 2026)
  2. NIST, « Technical Guide to Information Security Testing and Assessment ». https://csrc.nist.gov/pubs/sp/800/115/final (consulté le 3 novembre 2026)
  3. NCSC (Royaume-Uni), « Incident management », 19 septembre 2019. https://www.ncsc.gov.uk/collection/incident-management (consulté le 3 novembre 2026)
  4. NIST, « Cybersecurity Framework ». https://www.nist.gov/cyberframework (consulté le 3 novembre 2026)
  5. NIST, « Computer Security Incident Handling Guide », 6 août 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consulté le 3 novembre 2026)
  6. NIST, « Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile ». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « MITRE ATT&CK® ». https://attack.mitre.org/ (consulté le 3 novembre 2026)
  8. MITRE, « MITRE D3FEND Knowledge Graph ». https://d3fend.mitre.org/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Pentest, Red Team, Blue Team et Purple Team », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/

BibTeX 
@misc{brain_cp247_fr_2026,
  author = {Brain},
  title = {Pentest, Red Team, Blue Team et Purple Team},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0