Un Red Team Operator est un professionnel de la sécurité offensive qui mène des campagnes orientées objectif et de portée complète, émulant le comportement d'un adversaire réaliste. Plutôt que de recenser chaque faiblesse d'un système, l'opérateur travaille en vue d'un objectif défini, comme atteindre un jeu de données précis ou démontrer un impact métier particulier, et le fait d'une manière qui teste conjointement les personnes, les processus et la technologie. La question déterminante du rôle n'est pas seulement de savoir si une voie d'entrée dans l'organisation existe, mais de savoir si l'organisation la remarque et y réagit lorsqu'elle est empruntée.
Au quotidien, le travail s'articule autour de la planification et de la conduite d'engagements qui se déroulent sur des semaines plutôt que sur des heures. L'opérateur étudie l'environnement cible, sélectionne des techniques qui reflètent celles d'un acteur de la menace crédible et les exécute en s'efforçant de rester sous les seuils de détection des défenseurs. Une grande partie du métier repose sur la commande et le contrôle, soit la discipline consistant à maintenir un canal discret et résilient vers les systèmes compromis, et sur la gestion de l'arbitrage entre la progression et le risque d'être repéré. Les opérateurs tiennent des relevés soigneux de ce qu'ils ont fait et à quel moment, afin que l'engagement puisse ensuite être reconstitué et comparé à ce que l'équipe défensive a observé.
Le rôle exige une large base technique couvrant les systèmes d'exploitation, les réseaux, les systèmes d'identité et les logiciels d'entreprise courants, associée à une bonne compréhension du fonctionnement des outils défensifs et des équipes des opérations de sécurité. La patience, la discipline et le discernement sont tout aussi importants, car un opérateur doit mesurer chaque action à l'aune des objectifs de l'engagement et de ses règles d'engagement. La clarté de la rédaction et de la communication compte autant que la compétence technique, car la valeur d'une campagne ne se concrétise que lorsque les constats sont traduits en enseignements sur lesquels les défenseurs et la direction peuvent agir.
La plupart des opérateurs accèdent au rôle après une expérience dans une discipline connexe plutôt qu'en y débutant directement. Un parcours courant passe par le pentest ou les opérations de sécurité, où le praticien acquiert l'étendue technique et la conscience opérationnelle qu'exige le red teaming. L'évolution au sein du rôle tend à partir de l'exécution de portions d'une campagne sous supervision, pour aller vers la conduite d'engagements, la conception de scénarios liés à des menaces précises et, à terme, le façonnage de la méthodologie d'une équipe et de sa relation avec les organisations qu'elle sert. Des formations et certifications reconnues en émulation d'adversaire peuvent soutenir cette progression, même si l'expérience démontrée pèse d'un poids particulier.
Le red teaming se situe aux côtés de rôles offensifs voisins, mais s'en distingue par son accent et son intention. Les pentesters visent généralement l'étendue, en identifiant et en vérifiant autant de faiblesses exploitables que possible dans un périmètre défini, tandis que les red team operators privilégient la furtivité et un objectif réaliste unique afin de mesurer la détection et la réponse. Le rôle est aussi étroitement lié au purple teaming, un mode collaboratif dans lequel les praticiens offensifs et défensifs travaillent ensemble de façon ouverte pour améliorer les contrôles. Comprendre ces distinctions aide un professionnel à déterminer où se situent ses intérêts et à reconnaître comment le rôle contribue à la posture de sécurité globale d'une organisation.