Les métiers de la sécurité offensive partagent un objectif commun : évaluer les systèmes, les applications et les organisations du point de vue d'un adversaire motivé, puis rendre compte de ce qui est découvert afin que les défenseurs puissent y remédier. Ce sont des professions constructives, exercées sous autorisation et dans le cadre de règles d'engagement claires. Leur valeur ne réside pas dans le fait de casser des choses, mais dans la production de preuves qui aident une organisation à comprendre et à réduire son exposition réelle.
Bien que ces métiers soient liés, ils diffèrent par leur profondeur, leur portée et leur horizon temporel. Certains se concentrent sur des évaluations larges et reproductibles menées contre des cibles définies, tandis que d'autres explorent des questions étroites et approfondies sur la manière dont une technologie donnée peut défaillir. Les pages regroupées sous cette section décrivent chaque métier tour à tour, y compris ses responsabilités habituelles, les compétences qu'il mobilise et la façon dont il s'articule avec les activités de défense et de gouvernance.
Le testeur d'intrusion mène des évaluations cadrées qui identifient et valident les faiblesses au sein d'un périmètre convenu, en produisant des constats et des recommandations de remédiation. L'opérateur red team adopte une vision plus large et orientée vers un objectif, en reproduisant un comportement adverse réaliste afin de tester la détection et la réponse d'une organisation dans son ensemble. Le spécialiste purple team travaille au point de rencontre entre l'offensive et la défense, en coordonnant des exercices pour que les constats offensifs se traduisent directement par une meilleure couverture défensive.
Deux autres métiers se rapprochent davantage de la recherche et de l'ingénierie. Le chercheur en vulnérabilités étudie les logiciels, le matériel et les protocoles afin de découvrir des faiblesses jusque-là inconnues et d'en comprendre les causes profondes, souvent dans le cadre d'une divulgation responsable. Le développeur d'exploits conçoit du code de preuve de concept fiable qui démontre l'impact concret d'une faiblesse, un travail qui soutient à la fois les missions de test et la recherche défensive.
Les carrières dans ce domaine suivent rarement un chemin unique. De nombreux professionnels passent d'un métier à l'autre au fil du temps, et les frontières se déplacent d'une organisation à l'autre. Lire les pages individuelles en complément de cet aperçu aide un professionnel à voir où se situent ses centres d'intérêt et comment les métiers se complètent mutuellement ainsi qu'au sein du programme de sécurité plus large.