Que sont les Tactiques, Techniques et Procédures (TTP) ?

Comprendre la hiérarchie des TTP

Chaque couche du modèle TTP opère à un niveau d'abstraction différent. Ensemble, elles forment une image complète d'une intrusion, de l'intention stratégique jusqu'aux actions spécifiques de l'attaquant.

Tactiques : le « pourquoi »

Une tactique est l'objectif technique immédiat d'un adversaire à une étape donnée d'une attaque. Elle répond à la question de ce que l'attaquant cherche à accomplir, par exemple obtenir un accès initial, élever ses privilèges, échapper aux défenses ou exfiltrer des données. Les tactiques sont intentionnellement de haut niveau, décrivant une catégorie d'objectif plutôt qu'une méthode spécifique, et de nombreux groupes malveillants sont reconnaissables à leurs tactiques préférées.

Techniques : le « comment »

Une technique est la méthode utilisée pour atteindre une tactique. Les techniques sont plus granulaires : le harponnage pour obtenir un accès initial, ou l'injection de processus pour l'élévation de privilèges ou l'évasion des défenses. Elles décrivent la méthodologie plutôt qu'un outil spécifique, ce qui explique pourquoi elles restent utiles même lorsque la boîte à outils d'un attaquant évolue. De nombreuses techniques possèdent des sous-techniques qui décrivent des variantes encore plus spécifiques.

Procédures : le « comment exactement »

Une procédure est l'implémentation spécifique et documentée qu'un adversaire utilise pour exécuter une technique. Par exemple, utiliser PowerShell pour s'injecter dans lsass.exe et extraire la mémoire LSASS à la recherche d'identifiants est une procédure. Les procédures constituent la couche la plus détaillée et souvent la plus révélatrice, car leur reconstruction forensique peut permettre d'attribuer une attaque à un groupe malveillant connu.

Les procédures ont tendance à être extensives mais fréquemment répétées, les acteurs malveillants documentant et réutilisant les séquences exactes qui fonctionnent pour eux. Les analystes de sécurité reconstruisent les procédures en analysant les journaux réseau et les journaux d'événements, en examinant les modifications apportées aux fichiers système, les indices dans les logs, et les changements d'outils et d'infrastructure précédant un incident anormal, pour reconstituer une chronologie de l'attaque. Dans MITRE ATT&CK, les procédures réelles sont répertoriées dans la section « Exemples de procédures » de chaque page de technique, fournissant aux défenseurs des détails d'implémentation concrets sur lesquels s'appuyer pour la détection.

Exemples de TTP : de la tactique à la procédure

Les TTP et le référentiel MITRE ATT&CK

Le terme TTP est issu du renseignement militaire, où la compréhension des patterns comportementaux d'un adversaire était considérée comme plus durable que la connaissance de l'arme utilisée. Dans le domaine de la cybersécurité, MITRE ATT&CK a transformé cette idée en une base de connaissances standardisée et utilisée à l'échelle mondiale. Il organise les comportements adversariaux en catégories de tactiques, chacune alimentée par des techniques et sous-techniques issues d'observations réelles. La matrice entreprise couvre des étapes telles que :

• Accès initial, exécution, persistance et élévation de privilèges
• Évasion des défenses, accès aux identifiants, découverte et déplacements latéraux
• Collecte, command and control, exfiltration et impact

Cette taxonomie commune offre aux défenseurs un langage partagé : un analyste dans une organisation peut décrire une intrusion en utilisant les mêmes identifiants de technique, par exemple T1566 pour le phishing ou T1055 pour l'injection de processus, qu'un analyste n'importe où ailleurs, permettant une ingénierie de détection cohérente, une cartographie de la couverture et un partage de renseignements sur les menaces. Le National Institute of Standards and Technology (NIST) (SP 800-150) promeut également le partage structuré de TTP pour améliorer la posture de sécurité collective.

Pourquoi les attaquants utilisent des TTP spécifiques : comprendre les motivations

Les TTP découlent de la motivation d'un adversaire, et comprendre le « qui » et le « pourquoi » aide les défenseurs à anticiper le « comment ». De manière générale, les cyberattaques sont motivées par quelques grandes catégories, chacune associée à des comportements caractéristiques :

• Gain financier : Le moteur le plus courant, à l'origine des chevaux de Troie bancaires, des ransomware et du vol de données à la revente. Ces acteurs sont souvent indifférents à l'identité de leur cible.
• Espionnage : Les groupes étatiques et de type Advanced Persistent Threat (APT) qui volent des renseignements ou de la propriété intellectuelle, généralement patients et discrets, privilégiant le living off the land et les longues durées de présence.
• Perturbation et hacktivisme : Des acteurs à motivation idéologique cherchant à endommager ou à exposer, souvent via des attaques par déni de service distribué (DDoS) ou des wipers.
• Cyber terrorisme : Des attaques contre des services critiques visant à causer des dommages et de la peur au service d'un agenda politique ou militaire.
• Motivations personnelles ou liées aux initiés : Des initiés malveillants qui disposent déjà d'accès et agissent par vengeance ou motif personnel.
• Notoriété : Des acteurs moins qualifiés utilisant des kits prêts à l'emploi, cherchant à attirer l'attention plutôt qu'un gain spécifique.

Profiler un adversaire par motivation et TTP caractéristiques permet aux défenseurs de construire un profil de menace, d'anticiper les prochaines étapes probables et de prioriser les contre-mesures les plus pertinentes pour leur environnement de risque spécifique.

Les TTP à travers la Cyber Kill Chain

Les TTP se mappent naturellement sur la Cyber Kill Chain, la séquence d'étapes qu'une intrusion suit typiquement. Analyser le comportement à travers ce prisme aide les équipes à comprendre à quel moment d'une attaque une technique donnée apparaît et où la détection est la plus précieuse :

• Reconnaissance : Scanning et collecte d'informations pour identifier les points d'entrée.
• Livraison et exploitation : Phishing, livraison d'exploits et exécution initiale de code.
• Installation et persistance : Établissement de points d'ancrage et maintien de l'accès.
• Command and control : Établissement de canaux couverts pour diriger les hôtes compromis.
• Actions sur les objectifs : Déplacements latéraux, collecte de données, exfiltration ou impact destructif.

Un adversaire sophistiqué cherche à rester non détecté, n'apportant que des modifications subtiles jusqu'à ce qu'un payload soit déployé ou que des données soient exfiltrées. Parce que chaque étape laisse une empreinte comportementale distincte, les défenseurs au fait des TTP peuvent détecter et interrompre une attaque au plus tôt, plutôt que de la découvrir après que les dommages sont faits.

Comment les TTP sont utilisés dans les attaques réelles

Les acteurs malveillants réutilisent les TTP qui fonctionnent, privilégiant l'efficacité à l'innovation. Connaître les plus courants permet aux défenseurs d'anticiper le prochain mouvement plutôt que d'y réagir.

Ingénierie sociale

La manipulation psychologique de personnes pour les amener à divulguer des informations ou à effectuer des actions risquées. Au-delà du phishing et du harponnage, les techniques associées comprennent le pretexting (l'utilisation d'un scénario fabriqué), l'usurpation d'identité d'une partie de confiance, et les attaques de point d'eau qui compromettent des sites que la cible fréquente.

Exploitation de vulnérabilités

Les attaquants exploitent des failles logicielles ou matérielles pour obtenir un accès ou élever leurs privilèges. Les techniques associées comprennent le scanning de systèmes non corrigés, l'exploitation de vulnérabilités zero-day, l'exécution de code à distance et l'élévation de privilèges par des mauvaises configurations.

Living off the land (LotL)

L'utilisation d'outils légitimes et intégrés pour se fondre dans l'environnement et éviter la détection. L'abus de PowerShell, l'abus de Windows Management Instrumentation (WMI), l'abus de langages de script, les malware sans fichier et le masquage sont des techniques LotL emblématiques. C'est précisément pourquoi la détection comportementale importe davantage que les signatures ici.

Déplacements latéraux

Une fois à l'intérieur, les adversaires se déplacent entre les systèmes pour atteindre des cibles à haute valeur. Les techniques comprennent le pass-the-hash et le pass-the-ticket, le détournement de RDP, le vol d'identifiants et la force brute, et l'exploitation d'Active Directory. Les déplacements latéraux sont un comportement critique en milieu d'attaque que la détection basée sur les TTP peut identifier avant que l'exfiltration ne se produise.

Exfiltration de données et dissimulation des traces

À l'étape des objectifs, les attaquants compressent et chiffrent les données dérobées, les font transiter via des protocoles de confiance comme le DNS ou HTTPS, obfusquent les formats de fichiers, et suppriment les journaux ou déploient des rootkits pour dissimuler leur présence et entraver la forensique.

TTP vs. indicateurs de compromission (IoC)

Les TTP et les IoC sont des couches complémentaires de renseignement sur les menaces, mais ils diffèrent fondamentalement en termes de durabilité et de valeur de détection.

Parce que la détection basée sur les TTP se déclenche sur des patterns comportementaux inhérents à la méthode d'attaque, elle peut identifier des intrusions lors de techniques comme les déplacements latéraux ou l'élévation de privilèges, bien avant les phases les plus dommageables, réduisant ainsi le temps moyen de détection (MTTD). La détection basée sur les IoC ne peut se déclencher qu'après que les artefacts d'une attaque ont été catalogués, laissant les malware nouveaux ou les attaques LotL passer entre les mailles du filet.

Pourquoi l'analyse des TTP est importante : bénéfices pour les défenseurs

Étudier les TTP des adversaires transforme les observations brutes en défense actionnable. Les principaux bénéfices pour un programme de sécurité comprennent :

• Détection des menaces améliorée : Des règles et signatures comportementales qui détectent l'activité malveillante indépendamment des outils utilisés.
• Threat hunting proactif : Anticiper les chemins d'attaque et rechercher activement les comportements adversariaux connus.
• Attribution des adversaires : Relier l'activité à des groupes spécifiques via des artefacts procéduraux distinctifs.
• Réponse aux incidents plus rapide : Reconnaître les tactiques et techniques en jeu pour délimiter et contenir un incident rapidement.
• Investissement priorisé : Concentrer les ressources sur les menaces les plus pertinentes pour votre secteur et votre région.
• Collaboration renforcée : Partager les TTP et les IoC entre équipes et pairs en utilisant un référentiel commun.

Au-delà de ces bénéfices directs, l'analyse des TTP renforce le programme de sécurité dans son ensemble. Elle informe la formation à la sensibilisation à la sécurité avec des patterns d'attaque réels, alimente l'établissement de bases comportementales et la détection d'anomalies, et soutient la corrélation de campagnes, en reliant des incidents autrement isolés entre cibles, secteurs et zones géographiques via des techniques partagées. Parce que les procédures sont suffisamment constantes pour agir comme des signatures comportementales, les analystes peuvent construire des profils composites d'ensembles d'intrusion et suivre l'évolution des méthodes d'un acteur malveillant sur des mois ou des années, même lorsque son infrastructure et ses malware changent.

Comment se défendre contre les TTP courants

Se défendre contre les TTP est un travail continu et non une tâche ponctuelle, car les adversaires affinent constamment leurs comportements. Un programme efficace mêle contrôles proactifs et réactifs :

• Adopter un référentiel de sécurité comme le NIST Cybersecurity Framework ou les contrôles du Center for Internet Security (CIS), et le revoir régulièrement.
• Mener une formation et une sensibilisation continues pour contrer l'ingénierie sociale et le phishing.
• Maintenir la gestion des correctifs et le scanning des vulnérabilités pour réduire la surface d'attaque exploitable.
• Appliquer la segmentation réseau et le Zero Trust pour limiter les déplacements latéraux et les abus de privilèges.
• Déployer une surveillance comportementale via des plateformes de Security Information and Event Management (SIEM) et d'Extended Detection and Response (XDR) mappées sur MITRE ATT&CK pour une détection et réponse 24h/24.
• Renforcer la gestion des identités et des accès, les attaquants s'appuyant de plus en plus sur les identifiants et les accès privilégiés.

Regard d'expert : la détection des TTP à grande échelle, pilotée par la CTI

Détecter les adversaires par leur comportement n'est efficace que si votre bibliothèque de détection suit le rythme de l'évolution réelle des attaquants. L'approche de Sekoia est construite autour de cela. Son équipe Threat Detection & Research (TDR) maintient un catalogue de règles avec près d'un millier de règles de détection mappées sur la matrice MITRE ATT&CK, mises à jour en continu à mesure que le référentiel évolue et que de nouveaux TTP émergent.

Cela compte parce que les attaquants réutilisent fréquemment les TTP, mais aussi parce que certaines techniques résistent à la détection générique. Un exemple récent est la tactique d'ingénierie sociale ClickFix, qui incite les utilisateurs à copier et exécuter du PowerShell malveillant à partir de faux messages d'erreur de navigateur. La détecter de manière fiable dans des environnements clients hybrides et diversifiés nécessite plus que des événements hôtes et réseau courants. L'ingénierie de détection de Sekoia combine une corrélation comportementale basée sur SIGMA avec un moteur de Cyber Threat Intelligence (CTI) actionnable, de sorte que la couverture s'étend aux techniques que les outils basés sur les signatures manquent. En tant qu'éditeur européen, Sekoia associe cette détection comportementale alignée sur ATT&CK à une posture de souveraineté des données qui répond à des exigences que les généralistes américains proposent rarement, transformant le renseignement TTP en détections dès que le comportement de l'adversaire évolue.

‍

Questions fréquentes