Formation certification Red Team Ops (CRTO)

Programme de notre formation certification Red Team Operator (CRTO)

[Jour 1 – Matin]

Cadre opérationnel et méthodologie Red Team

• Différencier Red Team, pentest, adversary simulation et Purple Team
• Comprendre les différentes étapes du cycle d’attaque
• Définir objectifs, périmètre et Rules of Engagement (ROE)
• Intégrer les principes d’OPSEC dans la préparation d’une opération
• Organiser la journalisation des actions et la collecte des preuves

Compétences acquises : maîtrise de la préparation et du cadrage d’une opération Red Team.

[Jour 1 – Après-midi]

Command & Control avec Cobalt Strike

• Comprendre l’architecture d’un Command & Control (C2)
• Prendre en main Cobalt Strike et le fonctionnement de Beacon
• Configurer listeners, payloads et communications avec les agents
• Comprendre les mécanismes de pivot listeners et de redirection
• Adapter les profils réseau et les paramètres de communication aux contraintes OPSEC

Compétences acquises : maîtrise des fondamentaux d’une infrastructure C2 avec Cobalt Strike.

Reconnaissance et accès initial

• Réaliser une reconnaissance externe structurée sur les domaines, services et utilisateurs
• Exploiter DNS, moteurs de recherche et sources publiques pour enrichir la reconnaissance
• Comprendre les scénarios de password spraying et d’accès initial
• Identifier les principaux mécanismes de phishing interne utilisés lors d’une simulation
• Comprendre les contraintes OPSEC associées aux payloads et à l’accès initial
• Atelier fil rouge : cadrer l’opération, identifier un vecteur d’accès autorisé puis établir un premier canal C2 dans l’environnement de laboratoire

Compétences acquises : maîtrise des principales étapes de reconnaissance, d’accès initial et d’établissement d’un point d’appui.

[Jour 2 – Matin]

Reconnaissance hôte, persistance et élévation de privilèges

• Collecter les informations utiles sur un hôte Windows compromis
• Analyser processus, sessions utilisateurs et configuration locale
• Comprendre les mécanismes de persistance via tâches planifiées, services et registre
• Identifier les mauvaises configurations de services exploitables pour une élévation de privilèges
• Comprendre les mécanismes UAC et les scénarios de contournement étudiés dans le cadre de la certification

Compétences acquises : maîtrise de la reconnaissance locale et des principales techniques de persistance et d’élévation Windows.

[Jour 2 – Après-midi]

Credentials, DPAPI et authentification Windows

• Comprendre les différents types de credentials Windows
• Identifier hashes NTLM, clés Kerberos et tickets présents sur un système
• Comprendre le fonctionnement de DPAPI et du Credential Manager
• Étudier les mécanismes de récupération et de réutilisation des informations d’authentification
• Comprendre les principes de DCSync et les conditions nécessaires à son utilisation

Compétences acquises : maîtrise des principaux mécanismes d’authentification et de gestion des credentials Windows.

Active Directory, cartographie et mouvement latéral

• Réaliser une reconnaissance Active Directory structurée
• Identifier utilisateurs, groupes, ordinateurs et relations de confiance
• Comprendre Pass-the-Hash, Pass-the-Ticket et Token Impersonation
• Étudier le mouvement latéral via WinRM, PsExec, WMI et DCOM
• Mettre en œuvre les principes de pivoting avec SOCKS et proxychains
• Atelier fil rouge : partir du point d’appui obtenu la veille, récupérer des credentials, cartographier le domaine et progresser jusqu’à un système cible

Compétences acquises : maîtrise de la progression post-exploitation et du mouvement latéral dans Active Directory.

[Jour 3 – Matin]

Kerberos et délégations Active Directory

• Comprendre le fonctionnement de Kerberos dans Active Directory
• Étudier Kerberoasting et AS-REP Roasting
• Comprendre les délégations Unconstrained et Constrained
• Analyser la Resource-Based Constrained Delegation (RBCD)
• Comprendre S4U2Self, S4U2Proxy et Shadow Credentials

Compétences acquises : maîtrise des principaux scénarios d’abus Kerberos et de délégation.

[Jour 3 – Après-midi]

AD CS, Group Policy et services d’entreprise

• Comprendre le rôle d’Active Directory Certificate Services (AD CS)
• Identifier les autorités de certification et templates mal configurés
• Comprendre les possibilités d’abus et de persistance liées aux certificats
• Analyser les permissions et scénarios d’abus des Group Policies
• Identifier les chemins d’attaque liés à MS SQL Server et Microsoft Configuration Manager

Compétences acquises : maîtrise de l’analyse des chemins d’attaque liés à AD CS, GPO et services Microsoft.

Domain Dominance, trusts et LAPS

• Comprendre les mécanismes de Silver, Golden et Diamond Tickets
• Analyser les conditions nécessaires à la compromission complète d’un domaine
• Comprendre les relations de confiance entre domaines et forêts
• Étudier les scénarios Parent/Child et trusts entrants ou sortants
• Comprendre le fonctionnement de LAPS et les risques associés aux mauvaises permissions
• Atelier fil rouge : exploiter un chemin d’attaque Kerberos ou AD CS puis progresser jusqu’à un niveau de privilège de domaine dans le laboratoire

Compétences acquises : maîtrise des principaux mécanismes conduisant à la compromission d’un domaine Active Directory.

[Jour 4 – Matin]

Défenses Windows, AppLocker et OPSEC

• Comprendre les mécanismes de détection de Microsoft Defender Antivirus
• Identifier les artefacts comportementaux générés par les opérations Red Team
• Comprendre le rôle d’AMSI et les protections associées aux activités post-exploitation
• Analyser les politiques AppLocker et leurs contraintes
• Comprendre PowerShell Constrained Language Mode et les mécanismes Living Off The Land

Compétences acquises : maîtrise de l’analyse des protections Windows et des contraintes OPSEC associées.

[Jour 4 – Après-midi]

Data Hunting, objectifs et restitution Red Team

• Identifier les crown jewels et données correspondant aux objectifs métier
• Rechercher les informations pertinentes dans fichiers partagés et bases de données
• Comprendre les principes de collecte et d’exfiltration contrôlée
• Documenter les TTPs, artefacts et preuves nécessaires à la restitution
• Construire un rapport associant scénario d’attaque, impact métier et recommandations

Compétences acquises : maîtrise de la validation des objectifs et de la restitution d’une opération Red Team.

Extension de Cobalt Strike et préparation à la certification Red Team Operator

• Comprendre les possibilités d’extension de Cobalt Strike
• Découvrir les Beacon Object Files et les mécanismes d’extension du C2
• Revoir les étapes du cycle d’attaque couvertes par Red Team Ops
• Réviser Active Directory, Kerberos, mouvement latéral, pivoting et domain dominance
• Préparer sa stratégie de résolution pour l’examen pratique Red Team Operator
• Atelier final : reprendre l’environnement compromis, atteindre l’objectif final, documenter les preuves et réaliser une restitution synthétique de l’opération

Compétences acquises : maîtrise d’un scénario Red Team complet et préparation opérationnelle à la certification Red Team Operator.