TLPT Threat-Led Penetration Testing.

Ce qu'est réellement le test d'intrusion fondé sur la menace

Le test d'intrusion fondé sur la menace est un exercice de red team contrôlé mené contre une organisation en pleine production, piloté par du renseignement sur la menace réel et supervisé par une autorité financière. Le Digital Operational Resilience Act, DORA, en fait une obligation périodique pour les entités financières qu'un régulateur juge suffisamment significatives pour le justifier, et l'exercice s'appuie sur TIBER-EU, le cadre publié par la Banque centrale européenne pour le Threat Intelligence-Based Ethical Red Teaming.

Le mot déterminant est fondé : le test n'est pas une liste générique de vulnérabilités, mais une campagne façonnée par l'identité réaliste de qui attaquerait cette entreprise et par quels moyens. Un fournisseur de renseignement sur la menace dresse le profil de l'entité, identifie les adversaires plausibles et leurs méthodes, et remet à la red team un ensemble de scénarios. La red team tente ensuite de compromettre des fonctions critiques en production à l'aide de ces scénarios, exactement comme le ferait un attaquant réel.

Deux propriétés distinguent le TLPT du test d'intrusion ordinaire. Premièrement, il cible le parc en production réelle ainsi que les personnes et les processus qui l'entourent, et non une copie ou un périmètre restreint, ce qui explique qu'il soit conduit sous des règles strictes et par une petite équipe de contrôle de confiance. Deuxièmement, il est supervisé. L'autorité nationale compétente et, le cas échéant, une équipe TIBER dédiée participent à la mission, en validant le périmètre, en accréditant les testeurs et en supervisant la manière dont l'exercice est conduit. C'est cette supervision qui rend le résultat crédible aux yeux d'un régulateur et non seulement de l'entreprise qui l'a commandité.

Comment se déroule une mission TLPT

Un TLPT est un programme s'étalant sur plusieurs mois, et non une évaluation d'une semaine, et il se déroule selon des phases définies que le cadre TIBER-EU expose. Dans la phase de préparation, l'entité, l'équipe de contrôle et l'autorité conviennent du périmètre, confirment quelles fonctions critiques entrent en jeu et engagent des fournisseurs accrédités de renseignement sur la menace et de red team.

Dans la phase de test, le fournisseur de renseignement produit un rapport de ciblage sur l'entité, et la red team s'en sert pour exécuter des scénarios d'attaque réalistes contre les fonctions en production, souvent sur de nombreuses semaines, en tentant d'atteindre des objectifs définis sans être arrêtée. Dans la phase de clôture, la red team, la blue team et l'équipe de contrôle se réunissent pour reconstituer ce qui s'est passé, valider les constats et bâtir un plan de remédiation.

Le détail crucial est que presque personne au sein de l'organisation ne sait que le test a lieu. Les défenseurs, le centre opérationnel de sécurité et les répondants à incident ne sont pas prévenus, car tout l'enjeu consiste à observer comment ils se comportent face à une véritable intrusion plutôt qu'à un exercice planifié. Seule une infime équipe de contrôle est au courant. C'est ce qui fait du TLPT la mesure la plus honnête de la résilience opérationnelle qu'un RSSI puisse commander, et celle qui révèle le plus sûrement l'écart entre ce que le SOC est censé faire et ce qu'il détecte réellement sous pression.

TLPT, TIBER-EU et test d'intrusion ordinaire

Il est utile de garder claire la relation entre ces termes. TIBER-EU est le cadre, la méthodologie et les phases. Le TLPT est l'obligation réglementaire au titre de DORA qui adopte et référence ce cadre pour les entités financières concernées. Le test d'intrusion standard reste une activité précieuse et bien plus fréquente, mais il répond à une question plus étroite : existe-t-il des faiblesses exploitables dans ce système.

Un TLPT répond à une question plus difficile : si un adversaire réaliste s'en prenait aujourd'hui à nos fonctions les plus importantes, le remarquerions-nous seulement, et saurions-nous y répondre. Les deux sont complémentaires, et une organisation qui s'attend à un TLPT ne cesse pas de mener des tests ordinaires : elle s'en sert pour combler les lacunes évidentes afin que l'exercice fondé sur la menace puisse sonder les plus subtiles.

Ce que les praticiens font réellement pour se préparer relève rarement de l'achat d'un outil supplémentaire. Ils construisent un inventaire exact des fonctions critiques et des systèmes qui les soutiennent, afin que le périmètre puisse être convenu honnêtement. Ils s'assurent que les cas d'usage de détection sont réglés et que le SOC a répété l'escalade face à des scénarios réalistes plutôt qu'à des exercices sur table.

Ils confirment la structure de l'équipe de contrôle et les validations juridiques et de risque nécessaires pour mener en toute sécurité une intrusion contre la production. Et ils traitent les constats comme une donnée d'entrée pour la résilience opérationnelle et la planification de la continuité, car sous DORA la remédiation n'est pas un rapport privé : c'est une preuve dont le régulateur attend qu'elle donne lieu à des actions.