Dans ce podcast approfondi, Charles Hamilton partage sa vision du red teaming moderne et de l’évolution de l’écosystème cybersécurité. L’échange révèle les complexités d’un marché en constante mutation et les défis qui touchent tant les professionnels que les organisations.

Hamilton souligne un phénomène fascinant : les red teamers ciblent principalement des entreprises matures en sécurité, créant un écart croissant avec la réalité des attaques criminelles. Cette sophistication forcée des équipes rouges s’explique par la nécessité de contourner des solutions de sécurité avancées pour accomplir leurs missions d’évaluation. Paradoxalement, cette expertise finit par être publique et influence les techniques des vrais attaquants, créant un cycle où les défenseurs doivent constamment s’adapter.

Les véritables cybercriminels, quant à eux, privilégient l’opportunisme au détriment de la sophistication. Ils concentrent leurs efforts sur des cibles plus vulnérables, rendant leurs techniques souvent moins raffinées mais plus pragmatiques. Cette approche business-oriented explique pourquoi on retrouve encore des outils anciens comme Mimikatz dans les incidents réels, alors que les red teamers développent des techniques d’évasion complexes.

L’expérience d’Hamilton illustre comment les innovations du red teaming finissent par être récupérées par les attaquants réels. Il raconte l’anecdote d’un code qu’il avait publié il y a plus de dix ans et qui fut récemment réutilisé par un groupe d’attaquants, devenant soudainement une “nouvelle backdoor” aux yeux des analystes. Cette récupération démontre que les criminels puisent largement dans les ressources publiques plutôt que de développer leurs propres innovations.

Cette dynamique soulève des questions importantes sur l’équilibre entre le partage de connaissances défensives et les risques d’armement involontaire des attaquants. Hamilton défend néanmoins la publication de recherches, arguant que ces techniques finiraient par être découvertes de toute façon, et que leur divulgation permet aux défenseurs de mieux se préparer.

Un point central de la discussion concerne l’appréciation des outils techniques. Hamilton insiste sur l’importance de comprendre la complexité sous-jacente d’outils comme Mimikatz, développé par Benjamin Delpy. Cet outil, souvent perçu comme “simple” par les utilisateurs, représente en réalité des centaines d’heures de recherche sur les structures internes de Windows. Cette incompréhension de la sophistication technique conduit à une sous-estimation de la valeur des outils et des compétences nécessaires pour les développer.

Il établit un parallèle avec Metasploit, framework qui a démocratisé l’exploitation de vulnérabilités. Beaucoup d’utilisateurs peuvent lancer un exploit sans comprendre sa mécanique interne, comme l’exemple historique de MS08-067, exploitation particulièrement complexe impliquant des services RPC, des buffer overflows et des techniques de contournement de protections mémoire.

Hamilton prône une approche collaborative à travers les “Detection Capability Assessment”, exercices où red teamers et blue teamers travaillent ensemble. Ces sessions permettent aux défenseurs de voir les techniques en action et de développer des règles de détection appropriées. Cette collaboration bidirectionnelle enrichit les deux parties : les red teamers comprennent mieux les traces qu’ils laissent, tandis que les blue teamers apprennent à identifier des indicateurs subtils.

Cette approche collaborative reste malheureusement rare, particulièrement au Québec où les budgets cybersécurité sont plus limités. Le recours massif aux services managés crée également une opacité problématique, où l’intelligence de détection développée reste propriété du fournisseur plutôt que de l’organisation cliente.

La conversation aborde la transition des signatures antivirales vers la télémétrie moderne. Cette évolution, bien que techniquement supérieure, reste mal comprise par de nombreux professionnels. La télémétrie génère d’importants volumes de données qui nécessitent une analyse contextuelle sophistiquée pour identifier les activités malicieuses.

Hamilton illustre ce défi avec l’exemple d’un utilisateur non-technique exécutant soudainement PowerShell et effectuant des requêtes LDAP. Individuellement, ces actions peuvent sembler bénignes, mais leur combinaison et le contexte utilisateur révèlent une activité suspecte typique d’outils comme BloodHound. Cette contextualisation reste difficile à automatiser et nécessite une compréhension fine de l’environnement organisationnel.

L’expert critique vivement l’utilisation systématique du système CVSS pour évaluer les risques. Dans le contexte du red teaming, une vulnérabilité “low” selon CVSS peut devenir critique si elle constitue le maillon manquant d’une chaîne d’attaque vers des actifs sensibles. Cette approche contextuelle du risque contraste avec les évaluations standardisées des tests d’intrusion traditionnels.

L’exemple de Log4J illustre parfaitement cette problématique. Plutôt que de paniquer et patcher massivement, une compréhension du vecteur d’attaque aurait permis de mitiger le risque par des mesures réseau, évitant le stress des équipes pendant les vacances de Noël.

Hamilton observe une tendance préoccupante vers la sur-médiatisation et le marketing dans la cybersécurité. Les vulnérabilités reçoivent des noms accrocheurs et des logos, les groupes d’attaquants sont “glorifiés” avec des noms évocateurs et des représentations heroïques. Cette approche marketing dilue les vrais messages techniques et crée une confusion entre communication et substance.

Il dénonce également la prolifération de contenu généré par IA sur les plateformes professionnelles, particulièrement LinkedIn, qui noie les discussions techniques pertinentes sous un flot de contenu vide mais bien formaté. Cette tendance marginalise les voix techniques expertes au profit de “cyber-influenceurs” qui recyclent des concepts obsolètes.

Malgré ces défis, Hamilton continue de former la prochaine génération de professionnels. Il insiste sur l’importance de comprendre les fondamentaux plutôt que d’utiliser aveuglément des outils. Cette philosophie éducative vise à créer des professionnels capables d’adaptation et d’innovation plutôt que de simples utilisateurs d’outils.

Il encourage également la publication de blogs techniques, même sur des sujets déjà connus, comme moyen de développer les compétences de communication essentielles dans le domaine. La capacité à documenter et expliquer son travail s’avère aussi importante que l’expertise technique elle-même.

La conversation se conclut sur un appel à plus de collaboration et moins de compétition stérile dans l’industrie. Hamilton plaide pour des échanges constructifs entre professionnels techniques et dirigeants, entre red teamers et blue teamers, entre chercheurs et praticiens. Cette vision d’une communauté unie contraste avec la réalité actuelle d’écosystèmes cloisonnés qui peinent à communiquer efficacement.

Il partage son expérience personnelle des critiques et de la toxicité parfois présente dans la communauté cybersécurité, tout en réaffirmant son engagement à partager ses connaissances et à contribuer à l’évolution positive du domaine. Son parcours, depuis les débuts dans les années 2000 jusqu’à aujourd’hui, témoigne de l’évolution rapide du secteur et de l’importance de l’adaptation continue.

Cette riche discussion révèle les multiples facettes d’un domaine en constante évolution, où l’équilibre entre technique et communication, entre offensive et défensive, entre innovation et pragmatisme, définit l’efficacité des approches sécuritaires modernes.