Notre premier purple team a duré 3 jours et révélé 11 angles morts — la méthode en 7 étapes
Un test d’intrusion vous dit si quelqu’un peut entrer. Un exercice purple team vous dit si vous l’auriez vu passer. La seconde question est beaucoup plus inconfortable — et c’est la seule dont la réponse s’améliore d’une année sur l’autre.
Léa Bouchard
Consultante détection et réponse · WebGuard Agency
TL;DR — l’essentiel en 30 secondes
- • Un purple team se mène à découvert : attaque et défense dans la même salle, technique par technique. Ce n’est pas un test, c’est un atelier de calibrage.
- • La bonne portée pour une PME : 8 à 12 techniques, 3 jours, 2 personnes par côté. Au-delà, vous produisez un rapport que personne n’exploitera.
- • L’étape qui décide de tout est la n°3, la vérification de la collecte de journaux. Sans elle, vous mesurez le vide.
- • Sur notre premier exercice : 11 techniques sur 12 exécutées avec succès, 3 détectées, 5 tracées mais non alertées. Le tiers du travail utile portait sur ces 5 dernières.
Pourquoi le purple team change la question posée
Nous avons longtemps vendu des tests d’intrusion à des clients qui les recevaient comme un examen. Rapport, liste de failles, plan de correction, dossier clos. L’exercice a sa valeur — il faut savoir ce qui est exploitable — mais il souffre d’un défaut structurel : il ne mesure jamais votre capacité à voir.
Un adversaire réel n’échoue pas parce que votre pare-feu est bien configuré. Il échoue parce que quelqu’un remarque, à 3 h du matin, qu’un compte de service se connecte depuis une machine inhabituelle. Cette capacité-là ne se teste pas avec un scanner.
Le purple team inverse la logique. L’attaquant annonce ce qu’il va faire, l’exécute, et les deux équipes regardent ensemble ce qui est apparu — ou pas — dans les journaux. On n’essaie pas de gagner. On essaie de trouver l’écart entre ce qui s’est passé et ce qui a été vu, puis de le combler dans la journée.
Étape 1 — Définir l’objectif en une phrase mesurable
« Améliorer notre sécurité » n’est pas un objectif. « Savoir si nous détectons une compromission de poste bureautique menant à un accès au serveur de fichiers » en est un.
Le critère de qualité : votre phrase doit désigner un scénario, un périmètre et un résultat observable. Elle détermine ensuite mécaniquement quelles techniques choisir. Sans elle, la sélection se fait par goût, et l’exercice dérive vers ce que l’équipe attaquante sait faire plutôt que vers ce que l’entreprise risque.
Deux scénarios couvrent l’essentiel des besoins d’une PME française : la compromission par hameçonnage suivie d’un déplacement latéral, et l’abus d’un accès légitime — prestataire, compte de service, outil de gestion à distance. Commencez par le premier.
Étape 2 — Choisir 8 à 12 techniques, pas davantage
La matrice ATT&CK compte plusieurs centaines de techniques. La tentation du débutant est d’en couvrir un maximum ; c’est l’erreur qui transforme l’exercice en catalogue illisible.
Sélectionnez une à deux techniques par phase du scénario : accès initial, exécution, persistance, élévation de privilèges, contournement des défenses, découverte, déplacement latéral, exfiltration. Huit phases, douze techniques au maximum. Chacune doit être exécutable en moins de trente minutes, sinon vous ne finirez pas.
Privilégiez les techniques réellement observées dans votre secteur plutôt que les plus spectaculaires. Pour une PME française, cela signifie en pratique : abus d’outils d’administration légitimes, création de tâches planifiées, collecte d’identifiants en mémoire, et exfiltration via des services de partage grand public.
Étape 3 — Vérifier la collecte de journaux avant de commencer
C’est l’étape que tout le monde saute, et celle qui décide de la valeur de l’exercice entier.
Une semaine avant, vérifiez pour chaque machine du périmètre : la source de journaux est-elle active, arrive-t-elle jusqu’au point de centralisation, et pouvez-vous y faire une recherche ? Ces trois questions sont distinctes, et l’une des trois échoue presque toujours.
Sur notre premier exercice, nous avons découvert à ce stade que la journalisation détaillée des lignes de commande n’était activée sur aucun poste. Sans elle, la moitié des techniques prévues devenaient structurellement indétectables. Nous avons décalé l’exercice de dix jours pour l’activer — c’était la bonne décision, et personne ne l’a regretté.
Si votre collecte est incomplète, corrigez-la et reportez. Mener l’exercice sans elle revient à mesurer votre température avec un thermomètre cassé.
Votre collecte de journaux est-elle réellement exploitable ?
Nous vérifions les trois niveaux — source active, acheminement, capacité de recherche — sur votre périmètre réel, et livrons la liste des trous à combler avant tout exercice.
Lance-toi →Étape 4 — Exécuter en salle commune, technique par technique
Le déroulé d’une technique tient en quatre temps, et il est toujours le même.
L’attaquant annonce ce qu’il va faire et ce qu’il attend comme trace. Il exécute, en notant l’horodatage précis. La défense cherche, sans indication sur l’endroit où regarder — c’est le cœur de l’exercice. Les deux confrontent : trace présente ou non, alerte déclenchée ou non, délai de découverte.
La règle de discipline la plus importante : la défense cherche à l’aveugle pendant un temps limité, dix à quinze minutes. Au-delà, l’attaquant révèle. Sans cette limite, la séance s’enlise sur une technique et vous n’en couvrirez que quatre en trois jours.
Étape 5 — Consigner trois états, pas deux
L’erreur de consignation classique est le binaire détecté / non détecté. Il écrase l’information la plus utile.
Utilisez trois états. Détecté : une alerte est partie, quelqu’un l’a vue. Tracé : la donnée existe dans les journaux, mais aucune règle ne s’est déclenchée. Invisible : rien n’a été enregistré, aucune recherche ne pourrait aboutir.
Cette distinction commande le plan d’action et son coût. Passer de « tracé » à « détecté » demande d’écrire une règle : quelques heures. Passer d’« invisible » à « tracé » demande de modifier la collecte, parfois de déployer un agent sur tout le parc : plusieurs semaines. Confondre les deux, c’est promettre des délais intenables à votre direction.
Étape 6 — Corriger pendant l’exercice, pas après
C’est la différence qui justifie à elle seule le format. Quand une technique ressort en « tracé », la règle de détection s’écrit dans l’heure qui suit, pendant que l’attaquant enchaîne. Puis on rejoue la technique en fin de journée pour vérifier que la règle se déclenche.
Le gain est double. La règle est écrite par quelqu’un qui a l’événement sous les yeux, donc elle est juste du premier coup. Et elle est validée immédiatement par un rejeu réel — luxe dont on ne dispose jamais avec un rapport livré trois semaines plus tard.
Surveillez cependant le taux de faux positifs de chaque nouvelle règle sur les jours suivants. Une règle trop large sera désactivée en silence par l’équipe d’exploitation dans le mois, et vous croirez être couvert alors que vous ne l’êtes plus. C’est le mécanisme le plus fréquent de dégradation d’un dispositif de détection.
Étape 7 — Rejouer à 30 jours pour mesurer le gain réel
Un mois après, rejouez les mêmes techniques dans le même ordre. La séance dure une demi-journée et produit le seul chiffre qui compte vraiment : votre taux de détection avant et après.
Sur notre premier cycle, nous sommes passés de 3 techniques détectées sur 12 à 9 sur 12. Deux des règles écrites pendant l’exercice ne fonctionnaient plus — l’une désactivée pour faux positifs, l’autre cassée par une mise à jour de l’agent de collecte. Sans le rejeu, nous aurions annoncé 11 sur 12 en toute bonne foi.
Ce chiffre est également le meilleur argument budgétaire dont vous disposerez : il est concret, comparable d’une année sur l’autre, et compréhensible par une direction non technique. Il alimente aussi directement les dossiers de conformité — voir notre page audit de périmètre NIS2, où la capacité de détection et de signalement est explicitement attendue.
Deux remarques pour finir. Si votre périmètre inclut des outils d’IA ou des serveurs de connexion d’agents, ajoutez-y une technique dédiée : la surface est réelle et rarement couverte, comme l’analysent nos confrères de Plug-Tech. Et si vous internalisez la fonction détection, prévoyez le profil correspondant — un sujet de recrutement traité en détail chez D-Open.
FAQ
Quelle différence entre un pentest, un red team et un purple team ?
Une PME de 50 personnes a-t-elle les moyens d’un purple team ?
Faut-il un SIEM pour faire du purple team ?
À quelle fréquence répéter l’exercice ?
« Peut-on entrer » est une question résolue. « L’aurions-nous vu » ne l’est pas.
Nous animons des campagnes purple team calibrées pour les PME et ETI françaises : 3 jours, 12 techniques, règles écrites sur place et rejeu à 30 jours inclus.
Lance-toi →Sans engagement · Réponse sous 24h
Rédigé par Léa Bouchard
Consultante détection et réponse · 6 août 2026 · 15 min de lecture