Caldera : simuler une attaque informatique

Ou comment transformer votre cybersécurité en laboratoire vivant, sans jamais mettre votre production en danger.

Trois minutes : c’est le temps moyen dont dispose aujourd’hui une équipe de défense avant que l’attaquant prenne le contrôle d’un poste de travail une fois le premier clic effectué.
Vous trouvez cela stressant ? Vous n’êtes pas seul.

Mais comment tester vos défenses, identifier vos angles morts et former vos équipes sans risquer de déclencher – en vrai – une attaque informatique ? L’émulation d’adversaire apporte la réponse : reproduire fidèlement les tactiques, techniques et procédures (TTP) de groupes APT ou de cybercriminels, dans un bac à sable contrôlé, point final.

Et l’outil open-source MITRE Caldera fait figure de champion dans cette catégorie. Voyons pourquoi.

Pourquoi l’émulation d’adversaires change la donne

Imaginez un miroir impitoyable : il reflète chaque faille de configuration, chaque alerte mal paramétrée, chaque processus incident mal rodé. C’est exactement ce que délivre l’émulation d’adversaire ; elle pousse votre SOC et vos outils EDR dans leurs retranchements, sans la menace légale ni le chaos opérationnel d’un pentest en production.

• Réalisme maximal : les attaques se basent sur la matrice MITRE ATT&CK et suivent un enchaînement cohérent d’étapes (reconnaissance, élévation, exfiltration).
• Répétabilité : on lance les mêmes scénarios après chaque mise à jour de règle SIEM ou de version EDR pour mesurer les progrès.
• Coût maîtrisé : là où un Red Team full-scope peut dépasser 100 k€, Caldera s’installe en quelques commandes et tourne sur une VM Linux standard.

Vous dépensez déjà du budget pour des sondes et des licen­­ces ? Exploitez-les à 100 % avant d’en acheter d’autres !

Qu’est-ce que MITRE Caldera ?

ADN open-source et philosophie « threat-informed »

Caldera est développé par MITRE Engenuity pour démocratiser les tests adversaires automatisés. Le projet vit sur GitHub et bénéficie d’une communauté très active, avec de nouvelles abilities (scripts représentant des TTP) publiées chaque mois. github.com

Architecture en trois briques

1. Serveur Caldera – API, interface web, moteur de planification.
2. Agents “Sandcat” – exécutables Go multi-plateformes (Windows, Linux, macOS) se connectant en HTTP(S) ou gRPC.
3. Abilities & Adversaries – YAML décrivant les commandes, pré-requis et résultats attendus.

Nouveautés 2024-2025

La version 5.0 introduit :

• API REST v2 + swagger.
• Capacités d’exfiltration améliorées.
• Suppression automatique optionnelle des payloads.
• Horodatage UTC dans Sandcat pour faciliter la corrélation. github.com

En clair : la plateforme est mûre pour l’entreprise, pas seulement pour le labo R&D.

Chiffres clés : pourquoi personne n’est à l’abri d’une attaque informatique

• 4,88 millions $ : coût moyen mondial d’une violation de données en 2024 (IBM). ibm.com
• +10 % d’augmentation en un an – la plus forte hausse depuis la pandémie. ibm.com
• 36 % des compromissions impliquent du phishing. stationx.net
• 64 % des entreprises ont subi une attaque BEC (Business Email Compromise) en 2024, avec un préjudice médian de 150 000 $ par incident. hoxhunt.com
• 52 % des vulnérabilités exploitées en 2024 visaient la phase « initial access ». go.crowdstrike.com

Moralité : tester uniquement la détection après exploitation (« post-exfiltration ») revient à fermer la porte à clé… alors que la fenêtre est grande ouverte.

Cas d’usage concrets

Valider la chaîne de détection end-to-end

En juin 2024, l’attaque contre le labo médical Synnovis a paralysé plusieurs hôpitaux londoniens : prélèvements sanguins retardés, opérations reportées, facture finale à huit chiffres. L’incident rappelait cruellement qu’un ransomware bien placé peut avoir des conséquences physiques. ft.com

Avec Caldera, vous reproduisez pas à pas la kill chain employée (initial exploitation via VPN, mouvement latéral, chiffrement) et vérifiez :

• Le SIEM alerte-t-il dès la première requête anormale ?
• L’équipe SOC déclenche-t-elle le plan de réponse en moins de cinq minutes ?

Mesurer le ROI de vos outils

Vous venez d’acheter un EDR : il prétend bloquer Mimikatz et BloodHound ? Exécutez ces abilities dans Caldera et contrôlez le journal d’événements. Tant que le blocage n’est pas observé, considérez que vous avez jeté l’argent par les fenêtres.

Renforcer la « phishing sensibilisation »

Les simulations d’hameçonnage classiques se limitent souvent à cliquer / ne pas cliquer. Combinez-les avec Caldera : dès qu’un employé clique, l’agent dépose un token factice, mime l’exfiltration et envoie un rapport immédiat au CISO. Empathie garantie !

Phishing sensibilisation : l’œil humain reste votre dernier pare-feu

• 30 % de probabilité en moins de cliquer sur un lien malveillant pour un utilisateur formé. keepnetlabs.com
• Mais la Microsoft Digital Defense Review note seulement -3 % si la formation n’est pas renforcée par une culture de sécurité. hoxhunt.com
• Les études Fortinet montrent qu’81 % des organisations estiment que trois heures de formation annuelle suffisent, alors que l’ennemi perfectionne ses leurres quotidiennement. fortinet.com

Le message ? Misez sur des scénarios interactifs (role-playing, micro-modules) et couplez-les à des tests techniques type Caldera, pour ancrer le réflexe de signalement. Les expériences universitaires démontrent d’ailleurs que le jeu de rôle augmente la vigilance de manière significative par rapport aux sessions magistrales. arxiv.org

Tutoriel express : déployer Caldera en 30 minutes

Prérequis

• VM Ubuntu 22.04 LTS, 2 vCPU, 4 Go RAM.
• Python 3.11, Go ≥ 1.22.
• Accès internet pour le git clone.

Installation pas à pas

bashCopierModifiergit clone https://github.com/mitre/caldera.git --recursive
cd caldera
pip install -r requirements.txt
python server.py --insecure

⏱️ Temps réel observé chez un client retail : 12 minutes entre le clone et la première exécution d’un playbook.

Ajout d’un agent Windows

1. Depuis l’interface : Agents ▸ Generate.
2. Choisissez Sandcat → Architecture x64 → Communication HTTP.
3. Exécutez le binaire sur le poste de test : sandcat.exe -server http://<IP>:8888.

Lancer votre première campagne

• Operations ▸ NEW ▸ Sélectionnez l’adversaire APT29.
• Ciblez l’agent fraîchement déployé.
• Démarrez et surveillez les phases ATT&CK en temps réel.

Intégration CI/CD sécurité

• Ajoutez une étape GitHub Actions qui lance Caldera chaque nuit via l’API REST v2.
• Récupérez les résultats JSON et envoyez-les dans votre pipeline Grafana.

Bonnes pratiques pour maximiser la valeur de Caldera

1. Toujours cloner, jamais modifier en dur : versionnez vos adversaires custom dans un repo privé.
2. Mélangez abilities par métier : exfiltration CRM, sabotage ICS, etc.
3. Taguez chaque operation (release-candidate, audit-ANSSI, exercise-Crisis-Mgmt) pour faciliter les audits.
4. Automatisez le nettoyage : utilisez l’option --cleanup pour supprimer les artefacts.
5. Boucle Deming : Plan ➜ Do ➜ Check ➜ Act. Après chaque run, mettez à jour vos règles SIEM, puis relancez la même campagne.

Limites et points de vigilance

• Pas d’exploit 0-day par défaut : Caldera se limite aux TTP connues. Ajoutez-en manuellement si besoin.
• Risque de détection par EDR : Sandcat peut être mis en quarantaine. Préparez des exclusions ou utilisez le mode plain-text agent.
• Courbe d’apprentissage YAML : la puissance vient de la modularité, mais nécessite rigueur (indentation, Jinja 2 templates).
• Éthique : informez vos équipes du cadre légal et du périmètre ; évitez de toucher les données personnelles réelles.

Conclusion

Vous ne maîtriserez jamais une attaque informatique tant que vous ne l’aurez pas vécue – dans un environnement contrôlé. MITRE Caldera offre ce terrain de jeu : gratuit, scriptable, réaliste.

En intégrant la phishing sensibilisation à vos campagnes et en mesurant chaque étape de la kill chain, vous transformez chaque test en apprentissage, chaque apprentissage en action corrective.

Appel à l’action

• Téléchargez Caldera dès aujourd’hui et lancez votre premier scénario « Initial Access » avant la fin de la semaine.
• Besoin d’un accompagnement ? Contactez RM3A pour un atelier de mise en route ou un audit cybersécurité gratuit.
• Partagez vos retours : qu’avez-vous découvert de surprenant dans vos défenses ?

FAQ

Caldera peut-il casser ma production ?
Non, sauf si vous le déployez volontairement sur des machines critiques sans contrôle. Utilisez toujours un environnement de staging ou des hôtes dédiés.

Quelle différence entre Caldera et un pentest classique ?
Le pentest cherche des failles ponctuelles ; Caldera, lui, teste la détection et la réponse en continu, scriptable à volonté.

Puis-je simuler du phishing avec Caldera ?
Indirectement oui : générez des payloads qui se lancent lors d’un clic sur e-mail de test, puis observez la réaction de vos agents de sécurité et de vos collaborateurs.

Combien de temps faut-il pour créer un adversaire personnalisé ?
Comptez deux à trois heures pour un profil simple (reconnaissance + exfiltration). Plus complexe ? Préparez des abilities modulaires et assemblez-les comme des LEGO.

Caldera est-il compatible avec les EDR XDR du marché ?
Oui ; il fonctionne au-dessus du système d’exploitation et génère des événements que votre solution doit capter. S’il passe totalement inaperçu, posez-vous de sérieuses questions !

Envie de creuser ? Parcourez notre article « Mon Aide Cyber : l’audit gratuit » pour compléter votre arsenal défensif.