Backdoors & Breaches

Backdoors & Breaches est un jeu de cartes de réponse à incident de sécurité créé par Black Hills Information Security. Il se joue comme un exercice sur table, en présentiel ou à distance, avec un maître de l’incident et une équipe de défenseurs. Le scénario est composé de quatre cartes d’attaque tirées secrètement : compromission initiale, pivot et élévation, commande et contrôle avec exfiltration, persistance. Les défenseurs utilisent des cartes de procédures et un dé à 20 faces pour tenter de révéler les quatre cartes en 10 tours, tout en gérant des événements imprévus.

Déroulé

1. 1

   Installer le cadre et les rôles

   5 min

   L’animateur présente l’intention : « Nous allons simuler une réponse à incident, pas tester des personnes. Votre objectif est de raisonner ensemble sous contrainte. » Il désigne un maître de l’incident, qui pilotera le scénario et gardera les informations cachées. Les autres participants forment l’équipe de défenseurs, idéalement 3 à 8 personnes au total. Rappelez la durée visée, entre 30 et 60 minutes, et l’objectif : révéler les quatre cartes d’attaque en 10 tours.

   Astuce — Cadrez très tôt le droit à l’erreur : sinon les joueurs cherchent la “bonne réponse” au lieu de verbaliser leurs hypothèses, ce qui réduit fortement l’intérêt pédagogique.

2. 2

   Préparer le scénario d’attaque

   5 min

   Le maître de l’incident tire en secret quatre cartes d’attaque issues du jeu officiel. Elles représentent, dans l’ordre logique du scénario, la compromission initiale, le pivot et l’élévation, la commande et contrôle avec exfiltration, puis la persistance. Il ne les montre pas aux défenseurs et les garde comme vérité de référence. Il prépare aussi les cartes d’événements imprévus, qui pourront compliquer la partie selon les règles du matériel officiel utilisé.

   Astuce — Avant de démarrer, le maître de l’incident doit lire ses quatre cartes et imaginer un récit cohérent en une phrase ; cela rendra ses réponses plus fluides sans dévoiler d’indices gratuits.

3. 3

   Présenter les moyens des défenseurs

   7 min

   L’animateur met à disposition les cartes de procédures du jeu officiel, par exemple analyse de journaux, isolation ou analyse d’un poste. Il explique : « À chaque tour, vous choisissez une procédure, vous justifiez pourquoi, puis vous lancez un dé à 20 faces pour savoir si elle réussit. » Certaines procédures sont dites établies et accordent un bonus selon les indications de la carte officielle. Si une procédure réussie permet de détecter une carte d’attaque, le maître de l’incident la révèle.

   Astuce — Faites lire les cartes à voix haute par les joueurs eux-mêmes : cela évite que l’animateur devienne le seul expert et pousse l’équipe à s’approprier ses options.

4. 4

   Lancer l’incident et formuler les premières hypothèses

   5 min

   Le maître de l’incident donne une alerte de départ simple, compatible avec les cartes tirées, sans révéler les quatre éléments du scénario. Il dit par exemple : « Vous recevez un signal inquiétant : quelque chose indique qu’un incident est peut-être en cours. Que faites-vous en premier ? » Les défenseurs discutent leurs hypothèses : entrée initiale possible, actifs concernés, risques immédiats, données exposées. L’animateur veille à ce que la première décision soit une procédure jouable, pas une enquête illimitée.

   Astuce — Limitez volontairement les informations initiales : l’apprentissage vient de la construction progressive de preuves, pas d’un brief qui contient déjà la solution.

5. 5

   Jouer les tours d’enquête

   15 à 35 min

   À chaque tour, l’équipe choisit une seule procédure et explique son intention : « Nous voulons confirmer ou infirmer telle hypothèse. » Elle lance ensuite un dé à 20 faces ; le résultat, modifié le cas échéant par les bonus des procédures établies indiqués sur les cartes officielles, détermine la réussite. Si la procédure réussie correspond à une carte d’attaque détectable, le maître de l’incident révèle cette carte. Le tour est compté, et l’équipe doit révéler les quatre cartes avant la fin du dixième tour.

   Astuce — Tenez un tableau visible avec les tours 1 à 10, les procédures tentées, les réussites et les cartes révélées ; il soutient la mémoire collective et accélère le débrief.

6. 6

   Introduire les événements imprévus

   Intégré aux tours

   Le maître de l’incident utilise les cartes d’événements imprévus du jeu officiel pour compliquer la situation au moment prévu par le matériel ou choisi dans le cadre d’animation retenu. Il annonce l’événement clairement, puis applique ses effets sans en modifier le sens. Les défenseurs doivent intégrer cette contrainte dans leur prochaine décision, comme dans un véritable incident où le contexte évolue. L’animateur observe comment l’équipe arbitre entre investigation, confinement et gestion de crise.

   Astuce — Ne jouez pas les événements comme des punitions : reliez-les au récit, puis laissez une minute de silence à l’équipe pour réévaluer ses priorités avant de voter une action.

7. 7

   Clore la partie et révéler le scénario

   5 min

   La partie se termine lorsque les quatre cartes d’attaque sont révélées ou lorsque les 10 tours sont écoulés. Le maître de l’incident montre alors les cartes restantes s’il y en a, et reconstitue le scénario complet : compromission initiale, pivot et élévation, commande et contrôle avec exfiltration, persistance. L’équipe compare son raisonnement avec la réalité cachée. L’animateur valorise les bonnes hypothèses, les décisions utiles et les signaux manqués, sans transformer la clôture en correction magistrale.

   Astuce — Demandez d’abord aux défenseurs de raconter leur version de l’incident avant de révéler la vôtre ; l’écart entre récit perçu et scénario réel est souvent le meilleur matériau pédagogique.

8. 8

   Débriefer et transférer vers les pratiques réelles

   10 à 15 min

   L’animateur ouvre le débrief avec les traces de jeu : tours consommés, procédures choisies, cartes révélées, événements subis. Il demande : « Qu’est-ce que cette partie dit de notre manière de répondre à un incident ? » Les participants identifient ce qui a aidé : procédures établies, partage d’informations, hypothèses explicites, priorisation. Terminez par un ou deux engagements concrets à tester dans l’organisation, plutôt qu’une longue liste de bonnes intentions.

   Astuce — Faites distinguer les apprentissages “techniques” et “coordination” : dans ce jeu, les deux se mélangent, mais les plans d’action qui en sortent ne relèvent pas des mêmes responsables.

Variantes

• Variante courte : jouez avec un chronomètre strict par tour de décision afin de tenir en 30 minutes. Gardez les mêmes règles, le même objectif de quatre cartes à révéler et la limite de 10 tours.
• Variante apprentissage : après chaque carte d’attaque révélée, faites une pause de deux minutes pour nommer les indices qui ont permis la découverte. Cette version ralentit le rythme mais renforce la compréhension des raisonnements.
• Variante observateurs : ajoutez une ou deux personnes hors jeu qui notent uniquement les modes de décision, les hypothèses formulées et les angles morts. Elles restituent leurs observations au débrief, sans intervenir pendant les tours.
• Variante à distance : utilisez la version en ligne ou un support numérique officiel, avec un canal vocal et un tableau partagé pour suivre les 10 tours. Le maître de l’incident garde les cartes cachées et les défenseurs annoncent leurs procédures à voix haute avant chaque lancer de dé.