Formation certification Red Team Ops 2 (CRTL)

Programme de notre formation Red Team Ops II (CRTL)

[Jour 1 – Matin]

Fondations avancées et OPSEC Red Team

• Positionner Red Team Ops II dans la continuité des compétences Red Team Ops
• Approfondir les principes d’OPSEC appliqués aux opérations avancées
• Identifier les sources d’exposition liées aux outils, processus et communications
• Comprendre l’impact des contrôles défensifs sur le choix des techniques offensives
• Adapter les TTPs et la stratégie opérationnelle aux contraintes de l’environnement

[Jour 1 – Après-midi]

Windows Internals et développement offensif

• Comprendre les composants de Windows utiles au développement offensif
• Manipuler les Windows API depuis C# et C++
• Comprendre les mécanismes d’allocation et de protection de la mémoire
• Manipuler processus, threads, handles et tokens
• Comprendre les mécanismes d’appel dynamique et de résolution des fonctions

Chargement de code et injection de processus

• Comprendre les différentes stratégies de process injection
• Étudier CreateRemoteThread, APC et les techniques basées sur le mapping mémoire
• Comprendre le PPID Spoofing et la création avancée de processus
• Analyser les artefacts produits par les différentes techniques d’exécution
• Réduire l’exposition des outils en mémoire et maîtriser leur cycle d’exécution
• Atelier fil rouge : développer un loader dans le laboratoire, exécuter une charge contrôlée et analyser les artefacts produits sur le système

[Jour 2 – Matin]

Fonctionnement des défenses Windows

• Comprendre les mécanismes de détection des antivirus et EDR
• Analyser le rôle d’AMSI dans l’inspection des contenus exécutés
• Comprendre la télémétrie générée par ETW
• Identifier les mécanismes de hooking utilisés pour superviser les processus
• Comprendre les différences entre détection statique, comportementale et mémoire

[Jour 2 – Après-midi]

Évasion et adaptation des outils offensifs

• Comprendre les principes d’obfuscation et de réduction des signatures
• Étudier les mécanismes d’appels système et les syscalls
• Comprendre les stratégies permettant de limiter l’exposition à AMSI et ETW
• Adapter les caractéristiques d’un outil aux contrôles rencontrés
• Mesurer les artefacts et la télémétrie produits pendant son exécution

ASR, WDAC et contrôles d’exécution

• Comprendre le fonctionnement des règles Attack Surface Reduction (ASR)
• Analyser les politiques Windows Defender Application Control (WDAC)
• Comprendre les contraintes liées au code signing et aux chaînes de confiance
• Identifier les possibilités et limites des binaires système dans un contexte Living Off The Land
• Adapter la stratégie d’exécution aux politiques de sécurité appliquées
• Atelier fil rouge : confronter l’outil développé aux protections du laboratoire, analyser les blocages et adapter son exécution aux contrôles autorisés

[Jour 3 – Matin]

Processus protégés et durcissements Windows

• Comprendre le modèle des Protected Processes et Protected Process Light
• Analyser les niveaux de protection appliqués aux processus sensibles
• Comprendre les contraintes liées aux signatures et aux relations de confiance
• Identifier l’impact des mécanismes de durcissement sur les opérations post-exploitation
• Adapter les actions offensives aux restrictions de l’environnement

[Jour 3 – Après-midi]

Cobalt Strike et personnalisation des capacités offensives

• Approfondir l’utilisation de Cobalt Strike dans une opération avancée
• Comprendre les possibilités de personnalisation des capacités de Beacon
• Découvrir les Beacon Object Files (BOF)
• Intégrer des fonctionnalités personnalisées au workflow de l’opérateur
• Limiter les artefacts générés lors de l’utilisation des capacités post-exploitation

Chaîne d’attaque avancée et OPSEC

• Combiner développement offensif, exécution et post-exploitation dans une même opération
• Adapter les techniques selon les contrôles défensifs rencontrés
• Gérer les artefacts et indicateurs produits pendant l’opération
• Maintenir une journalisation permettant de documenter les actions réalisées
• Décider de poursuivre, modifier ou interrompre une action selon le risque OPSEC
• Atelier fil rouge : conduire une séquence offensive complète en adaptant les outils et techniques aux protections rencontrées dans le laboratoire

[Jour 4 – Matin]

Adversary Emulation et analyse des contrôles défensifs

• Construire un scénario d’Adversary Emulation à partir de TTPs réalistes
• Cartographier les actions avec MITRE ATT&CK
• Identifier les contrôles défensifs susceptibles de détecter chaque étape
• Définir les préconditions, objectifs et résultats attendus du scénario
• Mesurer la couverture et les écarts observés pendant la simulation

[Jour 4 – Après-midi]

Reporting et restitution d’une opération avancée

• Structurer un rapport Red Team technique et exécutif
• Construire une timeline des actions et techniques employées
• Documenter les preuves, artefacts et indicateurs observés
• Relier les faiblesses techniques aux risques pour l’organisation
• Formuler des recommandations exploitables par les équipes offensives et défensives

Préparation à la certification Red Team Lead (CRTL)

• Revoir les compétences avancées couvertes par Red Team Ops II
• Réviser Windows Internals, développement offensif et techniques d’injection
• Consolider les connaissances sur les mécanismes de défense et les contraintes OPSEC
• Réviser l’utilisation avancée et l’extension de Cobalt Strike
• Préparer sa méthodologie et sa gestion du temps pour l’évaluation Red Team Lead (CRTL)
• Atelier final : réaliser une simulation chronométrée mobilisant développement offensif, adaptation aux défenses et documentation des actions réalisées