Méthode
MITRE ATT&CK
Aussi appeléATT&CKMatrice ATT&CKMITRE ATTACK
En résumé
Une base de connaissances publique, tenue par l’organisation MITRE, qui décrit les tactiques et les techniques employées par les attaquants d’après des observations réelles. Chaque technique porte un identifiant, des exemples d’usage et des pistes de détection : c’est le vocabulaire commun des équipes de détection et de test.
MITRE ATT&CK, en détail
ATT&CK s’organise en matrices : entreprise, mobile, systèmes industriels. Les tactiques décrivent l’objectif de l’attaquant à un moment donné : accès initial, exécution, persistance, élévation de privilèges : définition, déplacement latéral : définition, exfiltration. Les techniques disent comment il l’atteint, et se déclinent en sous-techniques. Chacune a un identifiant (T1059 pour l’exécution par interpréteur de commandes, par exemple), des groupes et des logiciels connus pour l’utiliser, des mesures d’atténuation et des conseils de détection.
La matrice sert à trois usages : décrire une attaque avec des mots précis, mesurer quelles techniques la détection couvre, et choisir des scénarios à rejouer ou des hypothèses à chercher. Elle ne note pas votre sécurité. Elle recense des comportements observés ; certains ne vous concernent pas, et couvrir une technique par une règle fragile ne vaut pas protection. On l’utilise donc avec le renseignement sur les menaces de son secteur, qui dit lesquelles comptent.
Qu’est-ce que cela change pour vous ?
Elle remplace des discussions vagues (« sommes-nous protégés contre les rançongiciels ? ») par une liste de techniques précises, testées ou non. Elle aide à répartir l’investissement en détection selon les menaces réelles.
La confusion fréquente
Chercher à couvrir toute la matrice. C’est un inventaire de ce qui existe, non une liste de ce qui vous vise : le travail utile commence par choisir les techniques pertinentes pour votre secteur.
Quelles prestations s’appuient sur ce terme ?
- Threat hunting : la prestationChercher les traces d’un attaquant que vos alertes n’ont pas vu.
- Purple team : la prestationRejouer des techniques d’attaque devant vos équipes de détection, jusqu’à ce que l’alerte sonne.
Aller plus loin
- ArticleSécurité des applications d’IA générative : comprendre l’injection de promptInjection de prompt, fuite de données, agents trop permissifs : les risques d’une application fondée sur un modèle de langage, et comment en limiter les effets.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- MéthodeÉmulation d’adversaire : définitionUne méthode de test qui reproduit les techniques documentées d’un groupe d’attaquants réel ou d’un scénario de menace, en suivant sa chaîne d’actions, pour vérifier ce que les défenses détectent et bloquent.
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
- DéfenseThreat hunting : définitionUne recherche active, menée par un analyste à partir d’une hypothèse, de traces d’attaquants qui n’ont déclenché aucune alerte.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début