Qu'est-ce que le framework MITRE ATT&CK ?

Le MITRE ATT&CK expliqué

Quand une équipe de sécurité investigue une compromission, les détails techniques se répètent rarement exactement. Les familles de malware changent, l'infrastructure évolue et les outils varient d'une intrusion à l'autre. Mais les comportements sous-jacents ont tendance à rester les mêmes : un adversaire qui dérobe des identifiants, se déplace latéralement et exfiltre des données suit un pattern reconnaissable dans d'innombrables investigations. ATT&CK capture ces patterns. Chaque entrée est ancrée dans des incidents réels documentés par des chercheurs en sécurité, des threat hunters et des répondants aux incidents, afin que les défenseurs puissent s'appuyer sur des comportements vérifiés plutôt que sur des modèles spéculatifs.

ATT&CK se concentre sur les comportements post-compromission. Il suppose qu'un adversaire a obtenu un accès et cartographie les actions qui suivent, aidant les équipes à comprendre comment une attaque progresse et comment chaque étape s'inscrit dans la campagne globale. MITRE a lancé le projet en interne en 2013 dans le cadre d'un effort de recherche pour améliorer la détection post-compromission en utilisant la télémétrie des endpoints, et l'a rendu public en 2015. Il est depuis devenu une référence incontournable maintenue avec les contributions d'une communauté mondiale, mise à jour régulièrement à mesure que le savoir-faire des adversaires évolue.

Pourquoi le MITRE ATT&CK est important

La détection traditionnelle s'appuyait fortement sur les indicateurs de compromission (IoC) tels que les hachages de fichiers, les adresses IP et les domaines. Le problème est que les attaquants peuvent les modifier trivialement, de sorte que les défenses basées sur les indicateurs ne capturent qu'un seul instant dans le temps. ATT&CK comble quatre lacunes que les approches plus anciennes laissaient ouvertes : il se concentre sur les comportements des adversaires plutôt que sur les indicateurs éphémères ; il est suffisamment détaillé pour être directement mappé sur des analyses défensives, contrairement aux modèles de cycle de vie de haut niveau ; il est ancré dans des incidents réels observés ; et il fournit une taxonomie commune afin que les comportements puissent être comparés de façon cohérente entre différents groupes d'adversaires. Il en résulte un vocabulaire partagé et précis qui permet aux analystes, répondants, équipes de Cyber Threat Intelligence (CTI) et red teams de collaborer sans ambiguïté, transformant la sécurité d'une fonction réactive en une discipline proactive et pilotée par la connaissance des menaces.

Les matrices MITRE ATT&CK

ATT&CK organise les tactiques et les techniques en matrices visuelles, avec les tactiques en colonnes en haut et les techniques qui permettent d'atteindre chaque tactique listées en dessous. Il existe trois matrices principales, couvrant chacune un domaine différent :

• Matrice Enterprise : Le comportement des adversaires contre Windows, macOS et Linux, ainsi que les plateformes cloud (AWS, Azure, Google Cloud), les applications Software as a Service (SaaS), les équipements réseau et les conteneurs. Elle inclut également une section PRE pour les techniques préparatoires pré-attaque.
• Matrice Mobile : Les techniques utilisées contre les appareils Android et iOS, y compris les attaques sur l'appareil et les attaques mobiles via le réseau.
• Matrice ICS : Les techniques ciblant les systèmes de contrôle industriel (ICS) et l'Operational Technology (OT), les machines, capteurs et réseaux qui font fonctionner les usines, services publics et autres infrastructures critiques.

Parce que les matrices sont spécifiques aux plateformes, un utilisateur Enterprise peut filtrer uniquement les techniques pertinentes pour sa stack, ce qui maintient l'analyse ciblée et pratique.

Tactiques, techniques et sous-techniques MITRE ATT&CK

Le framework repose sur une hiérarchie simple mais puissante : les tactiques décrivent ce qu'un attaquant cherche à accomplir, les techniques décrivent comment il le fait, et les sous-techniques décrivent des variations spécifiques d'une méthode. Les procédures, au niveau le plus granulaire, sont les mises en œuvre réelles observées dans les campagnes.

Tactiques : les objectifs de l'attaquant

Chaque tactique représente un objectif adversarial à une phase donnée d'une intrusion. La matrice Enterprise définit actuellement 14 tactiques qui couvrent le cycle de vie d'une attaque :

• Reconnaissance : Collecter des informations pour planifier l'attaque.
• Développement des ressources : Acquérir ou construire des infrastructures, comptes ou outils.
• Accès initial : Obtenir un point d'ancrage dans l'environnement cible.
• Exécution : Faire tourner du code malveillant sur un système.
• Persistance : Maintenir l'accès après les redémarrages ou les changements d'identifiants.
• Élévation des privilèges : Obtenir des permissions de niveau supérieur.
• Contournement des défenses : Éviter la détection tout en opérant dans l'environnement.
• Accès aux identifiants : Dérober des noms d'utilisateur, mots de passe et jetons.
• Découverte : Apprendre à connaître les systèmes, comptes et architecture réseau.
• Déplacements latéraux : Se déplacer d'un système à un autre à l'intérieur de l'environnement.
• Collecte : Rassembler des données présentant un intérêt pour l'attaquant.
• Command-and-control (C2) : Communiquer avec et diriger les systèmes compromis.
• Exfiltration : Extraire des données de l'environnement.
• Impact : Perturber, corrompre, chiffrer ou détruire des données et des systèmes.

Techniques et sous-techniques : les méthodes

Si les tactiques représentent l'objectif, les techniques en sont l'exécution. La matrice Enterprise documente des centaines de techniques (plus de 200) et des centaines de sous-techniques supplémentaires. Par exemple, la technique générale Phishing se décline en Spearphishing Attachment, Spearphishing Link et Spearphishing via Service. Chaque entrée de technique inclut une description, les plateformes concernées, les groupes de menaces connus pour l'utiliser, les sources de données de détection et les mesures d'atténuation recommandées. Les sous-techniques ajoutent la précision dont les défenseurs ont besoin pour construire des détections précises.

Procédures : les mises en œuvre réelles

Les procédures sont les façons concrètes dont un outil spécifique, une famille de malware ou un groupe met en œuvre une technique. Elles ancrent le framework dans la réalité, afin qu'un défenseur puisse étudier exactement comment un adversaire observé a mis une technique en pratique, par exemple en utilisant un outil comme Mimikatz pour l'accès aux identifiants.

La Pyramide de la douleur : pourquoi les comportements l'emportent sur les indicateurs

La Pyramide de la douleur (Pyramid of Pain) est utile pour comprendre la valeur d'ATT&CK. Elle classe les indicateurs selon la difficulté qu'ils causent à un attaquant lorsqu'un défenseur les bloque. En bas se trouvent des indicateurs triviaux comme les hachages de fichiers, suivis des adresses IP et des noms de domaine, que l'adversaire peut modifier en quelques secondes. Plus haut se trouvent les artefacts réseau et hôte, puis les outils qu'utilise l'attaquant. Tout en haut se trouvent les TTP, les tactiques, techniques et procédures qui décrivent la façon dont l'adversaire opère réellement. Forcer un attaquant à changer ses TTP est le coup le plus difficile qu'un défenseur puisse porter, car cela signifie reconstruire l'ensemble de son approche. ATT&CK est un catalogue structuré de ce niveau supérieur, ce qui explique pourquoi les détections construites autour de lui sont si durables.

Au-delà de la matrice : groupes, logiciels, campagnes et le Navigator

ATT&CK est bien plus qu'une grille de tactiques et de techniques. Il fournit également des objets connectés qui ajoutent un contexte réel, et un outil pour travailler avec l'ensemble.

• Groupes : Des clusters d'activité adversariale suivis (acteurs malveillants ou ensembles d'intrusion), chacun lié aux techniques et logiciels qu'ils utilisent. Parce que les éditeurs nomment les groupes différemment, un seul groupe porte souvent plusieurs alias.
• Logiciels : Les malware et outils légitimes utilisés dans les intrusions (des malware personnalisés aux utilitaires comme Mimikatz ou PsExec), chacun mappé sur les techniques qu'il réalise et les groupes qui l'utilisent.
• Campagnes : Des opérations définies sur une période de temps, permettant aux équipes d'étudier une intrusion de bout en bout, y compris les techniques, logiciels et groupes impliqués.
• Mesures d'atténuation et sources de données : Des index des mesures défensives qui s'attaquent aux techniques, et des sources de journaux ou de télémétrie qui les révèlent.
• ATT&CK Navigator : Un outil gratuit et open source pour rechercher, filtrer, annoter et visualiser la base de connaissances, par exemple pour superposer la couverture de détection aux techniques utilisées par un groupe spécifique. Il peut exporter en JSON, Excel ou SVG.

MITRE ATT&CK vs. Cyber Kill Chain

ATT&CK est souvent comparé au Cyber Kill Chain de Lockheed Martin. Les deux modélisent les attaques comme une séquence d'étapes adversariales, et certains noms d'étapes se chevauchent même, mais ils servent des objectifs différents.

Le Cyber Kill Chain est un modèle utile de haut niveau d'une attaque, tandis qu'ATT&CK est la référence opérationnelle détaillée qui mappe les comportements spécifiques des attaquants sur des détections et des mesures d'atténuation concrètes. De nombreuses équipes utilisent les deux : le kill chain pour communiquer au niveau stratégique, et ATT&CK pour le travail défensif opérationnel.

Comment les organisations utilisent le MITRE ATT&CK

ATT&CK soutient un large éventail d'activités de sécurité, des opérations quotidiennes à la planification à long terme. Les cas d'usage les plus courants incluent :

Détection des menaces et ingénierie de détection

Les équipes mappent leurs alertes, règles et analyses sur les techniques ATT&CK pour voir quels comportements elles détectent actuellement et où se trouvent les lacunes. Parce que les détections sont construites autour du comportement plutôt que des signatures, elles continuent de fonctionner même quand les attaquants changent d'outils. Cela compte de plus en plus, car une grande partie des intrusions est désormais sans malware et repose sur des outils légitimes et des identifiants volés.

Threat hunting

Les threat hunters utilisent ATT&CK pour guider des recherches hypothético-déductives. Observer une technique, comme l'utilisation d'identifiants valides, les oriente vers des techniques connexes de vol d'identifiants, de déplacements latéraux et de persistance, afin qu'ils puissent suivre le chemin probable d'un adversaire plutôt que de chercher à l'aveugle.

Renseignement sur les menaces

Les analystes mappent les rapports d'incidents et les recherches sur ATT&CK, construisant un ensemble de données structuré et durable sur le comportement des adversaires. Les techniques récurrentes dans de nombreux rapports révèlent quels comportements comptent le plus dans un secteur donné, aidant les équipes à prioriser les détections qui auront le plus grand impact.

Red teaming et émulation d'adversaires

Les red teams construisent des exercices autour des techniques réelles qu'utilise un adversaire spécifique, plutôt que des tests de pénétration génériques. Émuler un groupe connu signifie suivre ses TTP documentées étape par étape, ce qui teste si les défenseurs peuvent détecter et interrompre cette séquence exacte.

Analyse des lacunes et maturité du SOC

En comparant la couverture de détection à la matrice, les organisations effectuent des analyses des lacunes de sécurité et évaluent la maturité de leurs opérations de sécurité, utilisant les résultats pour prioriser les investissements là où ils réduisent le plus le risque.

Comment mettre en œuvre le MITRE ATT&CK

La plupart des organisations adoptent ATT&CK par phases plutôt que d'essayer de couvrir l'ensemble de la matrice d'un coup. Une démarche pratique ressemble à ceci :

1. Cartographier et analyser les lacunes : Mapper les contrôles préventifs et détectifs existants sur les techniques ATT&CK (le Navigator aide), puis identifier les techniques sans couverture.
2. Prioriser par pertinence : Toutes les techniques ne présentent pas le même risque. Concentrez-vous d'abord sur les techniques qui apparaissent fréquemment dans votre secteur ou qui sont utilisées par les adversaires les plus susceptibles de vous cibler.
3. S'assurer d'avoir la bonne télémétrie : La détection comportementale dépend des données. Collectez les journaux d'exécution des processus, la journalisation PowerShell, les modifications de fichiers et de registre, les connexions réseau et les événements d'authentification, car de nombreuses lacunes viennent de journaux manquants plutôt que d'une logique défaillante.
4. Construire et tester les détections : Traduire les techniques en analyses, puis les valider contre des tests réalistes (des outils comme Atomic Red Team aident) et les affiner jusqu'à ce qu'elles résistent aux variations.
5. Progresser dans le temps : Avancer de la compréhension du framework, au suivi des techniques dans les incidents, à l'analyse régulière de la couverture, jusqu'à l'intégration complète d'ATT&CK dans l'ingénierie de détection, le hunting et les flux de reporting.

Bénéfices et limites

Les bénéfices d'ATT&CK sont substantiels :

• Détection durable : Les détections comportementales résistent aux changements d'outils et de rotation d'infrastructure.
• Langage commun : Une taxonomie partagée accélère la collaboration entre analystes, threat hunters et red teams.
• Investissements fondés sur les données : La cartographie de la couverture guide les décisions sur l'allocation du budget et des efforts.
• Priorisation ciblée : Les équipes se concentrent sur les techniques les plus utilisées contre leur secteur, pas sur l'ensemble de la matrice à la fois.
• Défense alignée sur les adversaires : Les détections reflètent la façon dont les attaquants opèrent réellement, pas la façon dont les défenseurs supposent qu'ils pourraient le faire.

Les limites méritent également d'être nommées. ATT&CK ne prescrit pas d'outils ou d'éditeurs, chaque organisation doit donc décider quels contrôles correspondent à son environnement. Il dépend d'une télémétrie mature, de sorte que les équipes sans journalisation solide et sans visibilité sur les endpoints ou le cloud font face à un travail préalable avant de pouvoir l'utiliser pleinement. Et le mappage précis des comportements nécessite des analystes expérimentés capables de distinguer l'exécution de techniques malveillantes de l'administration légitime. Aucune de ces limites ne diminue sa valeur ; elles signifient simplement qu'ATT&CK est une fondation sur laquelle construire, pas un interrupteur à activer.

Regard d'expert : ATT&CK n'est utile que si vos détections y sont réellement mappées

Mapper quelques alertes sur quelques identifiants de techniques est simple ; maintenir une couverture large, à jour et comportementale sur l'ensemble de la matrice ne l'est pas. Sekoia intègre ATT&CK au cœur de sa plateforme. Le Security Information and Event Management (SIEM) Sekoia Defend est livré avec près de 1 000 règles de détection mappées sur les techniques MITRE ATT&CK, de sorte que la couverture est native plutôt que quelque chose que chaque client doit assembler lui-même. Ces règles sont continuellement créées et mises à jour par une équipe interne de Threat Detection & Research (TDR) qui suit de première main des groupes d'adversaires nommés, y compris des acteurs comme APT28, APT29, Turla et d'autres, et traduit directement leurs TTP observées en détections.

C'est le bénéfice pratique d'un modèle CTI-led. Parce que Sekoia Intelligence alimente la plateforme avec des recherches de première main plutôt que seulement des feed tiers, les détections suivent le comportement réel des groupes et se mappent proprement sur les techniques ATT&CK, ce qui rend l'analyse des lacunes et le threat hunting bien plus ancrés. En tant qu'éditeur européen, Sekoia apporte également une posture de souveraineté des données que les grands prestataires américains égalent rarement, et sa plateforme SOC unifiée associe la détection alignée sur ATT&CK à la réponse automatisée aux incidents en un seul endroit. ATT&CK est gratuit pour tout le monde ; ce qui diffère, c'est la rigueur et l'actualité avec lesquelles vos détections y sont mappées.

‍

Questions fréquentes