Recruter un red teamer : ce qui le distingue d'un pentester

Beaucoup d'offres d'emploi parlent de « red team » alors qu'elles décrivent un poste de pentester. La confusion coûte cher : vous attirez des candidats qui attendent des opérations longues et furtives, puis vous les occupez à des audits d'applications web. Ce guide vous aide à savoir si vous avez vraiment besoin d'un red teamer, ce qui le distingue d'un pentester et comment l'évaluer sur ce qu'il sait faire.

Pentest et red team : deux objectifs différents

Le pentester et le red teamer utilisent souvent les mêmes techniques. Ce qui change, c'est la question à laquelle ils répondent.

Le test d'intrusion cherche à trouver un maximum de vulnérabilités sur un périmètre défini, dans un temps donné. L'équipe de défense est généralement prévenue. Le livrable est une liste de failles priorisées, avec des recommandations de correction.

L'opération red team simule un attaquant réaliste qui poursuit un objectif précis : accéder à une donnée sensible, prendre le contrôle d'un système critique, détourner un processus métier. Elle teste l'organisation dans son ensemble, y compris sa capacité à détecter et à réagir. Seule une poignée de personnes est informée. Le livrable raconte un scénario d'attaque, ce qui a été vu ou non par la défense, et ce qu'il faut améliorer.

Critère	Test d'intrusion	Opération red team
Question posée	Quelles failles existent sur ce périmètre ?	Un attaquant atteindrait-il cet objectif sans être arrêté ?
Périmètre	Délimité (une application, un réseau, un domaine)	Large, parfois toute l'organisation, physique et humain compris
Durée	Quelques jours à quelques semaines	Souvent plusieurs semaines, parfois davantage
Discrétion	Rarement recherchée	Centrale : éviter la détection fait partie de l'exercice
Défense	Généralement informée	Volontairement tenue à l'écart, sauf une cellule de contrôle
Livrable	Liste de vulnérabilités et corrections	Récit d'attaque, chronologie, écarts de détection et de réponse

Un bon pentester n'est donc pas automatiquement un bon red teamer, et l'inverse est vrai aussi. Pour cadrer un besoin de tests d'intrusion classiques, notre guide pour recruter un pentester est un meilleur point de départ.

Avez-vous besoin d'un red teamer en interne ?

Une opération red team mesure la capacité de défense. Elle n'a de sens que si cette défense existe. Avant d'ouvrir un poste, vérifiez ces prérequis :

Une capacité de détection en place. Un SOC interne ou managé, une télémétrie exploitable, des alertes traitées. Sans cela, l'opération démontrera surtout que personne ne regarde, ce que vous savez probablement déjà.
Des tests d'intrusion réguliers. Si les vulnérabilités de base ne sont pas corrigées, un pentest apporte plus de valeur à moindre coût.
Un sponsor au plus haut niveau. Une opération furtive touche des équipes qui ne sont pas prévenues. Il faut un mandat clair de la direction et un cadre juridique solide.
Une volonté d'exploiter les résultats. Le travail le plus utile commence après l'opération, avec l'équipe de défense.

Beaucoup d'organisations font appel à un prestataire pour leurs exercices red team, et c'est souvent le bon choix au départ. Un poste interne se justifie plutôt quand les exercices deviennent réguliers, quand l'environnement est complexe ou quand une réglementation impose des tests avancés. C'est le cas dans la finance, où le règlement DORA prévoit des tests de pénétration fondés sur la menace pour certaines entités : notre article sur DORA et le recrutement cyber dans la finance détaille les profils concernés. Même lorsque l'exercice est externalisé, quelqu'un en interne doit savoir le préparer, le piloter et en tirer parti.

Les compétences à vérifier

Une base offensive solide

Le red teamer doit maîtriser ce que maîtrise un pentester confirmé : Active Directory et ses chemins d'attaque, escalade de privilèges sous Windows et Linux, mouvements latéraux, environnements cloud et identités. Sur ce point, notre guide pour recruter un expert Active Directory liste des notions utiles à vérifier.

La discrétion et la connaissance de la défense

C'est la vraie différence. Un red teamer sait ce que voient un EDR, un SIEM et une équipe SOC. Il choisit ses actions en fonction de ce qu'elles laissent comme traces, et il sait expliquer pourquoi. Un candidat qui ne raisonne qu'en termes d'exploitation, sans jamais parler de détection, est encore un pentester.

L'infrastructure d'attaque et l'outillage

Une opération demande de monter et d'exploiter une infrastructure : serveurs de commande et de contrôle, redirecteurs, gestion des accès initiaux. Le candidat doit savoir l'installer proprement, la sécuriser et la démonter. Une capacité de développement (scripts, outils adaptés, modification d'outils existants) est souvent attendue sur les postes confirmés.

L'accès initial et le volet humain

Selon votre périmètre, l'opération peut inclure de l'hameçonnage ciblé, de l'ingénierie sociale ou des tests d'intrusion physique. Ces volets sont sensibles juridiquement et humainement. Vérifiez que le candidat connaît leurs limites et sait les encadrer avec la direction, les ressources humaines et le service juridique.

La planification et la restitution

Une opération se prépare : renseignement sur la cible, choix des scénarios inspirés de menaces réalistes, règles d'engagement, points de contrôle avec la cellule informée. À la fin, le red teamer doit restituer une chronologie précise, mettre en regard chaque action et ce que la défense a vu ou manqué, puis animer un échange constructif avec l'équipe bleue.

Le cadre et l'éthique

Plus encore qu'en pentest, le cadre est non négociable. Une opération red team touche des personnes qui ne savent pas qu'elles sont testées et peut perturber la production si elle est mal conduite. Un bon candidat aborde spontanément :

la lettre de mandat et le périmètre autorisé, y compris ce qui est explicitement exclu ;
la cellule de contrôle, informée, qui peut arrêter l'exercice à tout moment ;
la procédure de désescalade si la défense détecte l'opération et lance une vraie réponse à incident ;
la protection des données consultées pendant l'opération et leur destruction à la fin ;
les limites légales et humaines de l'ingénierie sociale.

Un candidat qui évoque avec légèreté des actions menées hors mandat doit être écarté, quel que soit son niveau technique.

Les profils qui réussissent

La plupart des red teamers viennent du pentest, après plusieurs années de missions variées. Ils ont développé un goût pour les scénarios longs et pour la discrétion. D'autres viennent de la défense : analystes SOC confirmés, ingénieurs détection ou spécialistes de la réponse à incident qui connaissent très bien ce que voit l'équipe bleue. Ces derniers apportent un atout précieux, à condition d'avoir aussi une vraie pratique offensive.

Le mouvement inverse existe : des red teamers rejoignent la défense pour devenir threat hunters ou ingénieurs détection. Si votre priorité est d'améliorer la détection plutôt que de la tester, l'un de ces postes peut être plus pertinent qu'un red teamer.

Comment évaluer un candidat

Les certifications offensives avancées et les contributions publiques donnent des indices, mais elles ne disent pas comment le candidat mène une opération dans un environnement défendu. Comme pour tout poste technique, une mise en situation reste le moyen le plus fiable, comme nous l'expliquons dans notre article sur l'évaluation des compétences au-delà du CV.

Un processus qui fonctionne bien :

Un échange sur les opérations passées. Faites raconter une opération précise : objectif, scénario, ce qui a été détecté, ce qui a échoué, ce que le client a corrigé ensuite. Sans demander d'informations confidentielles.
Un lab pratique avec une défense active. Un environnement d'entraînement équipé d'une détection de base, avec un objectif à atteindre. On observe autant la discrétion que le résultat.
Une restitution. Le candidat présente sa chronologie et ce qu'un défenseur aurait dû voir. C'est l'étape qui révèle le mieux sa valeur pour l'équipe bleue.
Un échange avec le manager sur le cadre, les règles d'engagement et le fonctionnement de l'équipe.

Questions d'entretien utiles

« Quelle différence faites-vous entre un pentest et une opération red team ? » Une réponse convaincante parle d'objectif, de discrétion et de mesure de la défense, pas seulement de durée.
« Comment choisissez-vous une technique plutôt qu'une autre pendant une opération ? » On attend un raisonnement sur les traces laissées et le niveau de surveillance supposé.
« Vous êtes détecté au deuxième jour. Que faites-vous ? » Cherchez une réaction encadrée : prévenir la cellule de contrôle, documenter, éviter de déclencher une crise réelle.
« Racontez une opération où la défense vous a surpris. » Les meilleurs candidats respectent l'équipe bleue et apprennent d'elle.
« Que contient votre rapport final, et pour qui ? » La réponse doit distinguer la synthèse pour la direction et le détail exploitable par le SOC.

Les erreurs à éviter

Appeler red team un poste de pentest. Les candidats s'en rendent compte vite et partent. Décrivez honnêtement le quotidien.
Recruter avant d'avoir une défense à tester. Le red teamer finira par faire des audits classiques ou par s'ennuyer.
Négliger le volet restitution. Une opération brillante sans échange avec l'équipe bleue n'améliore presque rien.
Isoler le red teamer. Son travail doit nourrir la détection. Prévoyez des temps d'échange réguliers avec le SOC, voire des exercices conjoints.
Faire évaluer le candidat par quelqu'un qui ne pratique pas. Sans un pair offensif ou un défenseur expérimenté, l'entretien récompense l'aisance plutôt que le niveau.

En résumé

Un red teamer ne cherche pas des failles : il vérifie si un attaquant réaliste atteindrait un objectif sans être arrêté. Le poste se justifie quand votre détection est en place et que vous êtes prêt à exploiter les résultats. Évaluez la base offensive, mais surtout la discrétion, la connaissance de la défense, le respect du cadre et la qualité de la restitution.

Vous envisagez de recruter un red teamer ou de clarifier ce besoin ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité vous aident à choisir entre pentest, red team et renfort de la détection, puis mènent la recherche avec vous. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre méthode ou partagez votre besoin.