Tri guidé par ATT&CK
Utiliser la matrice MITRE ATT&CK pour qualifier une alerte et évaluer la profondeur réelle d'une intrusion.
À retenir
- ATT&CK structure le tri d'une alerte en tactiques (objectif) et techniques (méthode) observées chez de vrais attaquants.
- Une alerte isolée doit toujours être vérifiée par rapport aux techniques adjacentes dans la chaîne d'attaque.
- Une carte de couverture ATT&CK aide à prioriser le développement de nouveaux cas d'usage de détection.
- Le living off the land peut échapper à l'antivirus mais rester détectable via l'analyse comportementale EDR.
MITRE ATT&CK : un langage commun pour qualifier une alerte
La matrice MITRE ATT&CK décrit les tactiques (le « pourquoi », l'objectif d'une phase d'attaque) et les techniques (le « comment ») réellement observées chez des attaquants. Pour un analyste SOC, elle transforme une alerte isolée en hypothèse d'attaque replacée dans une chaîne plus large.
Des tactiques qui structurent le tri
| Tactique ATT&CK | Question posée à l'analyste |
|---|---|
| Initial Access | Comment l'attaquant est-il potentiellement entré ? |
| Execution | Un code a-t-il été exécuté sur l'hôte concerné ? |
| Persistence | L'attaquant a-t-il installé un mécanisme de maintien d'accès ? |
| Privilege Escalation | Y a-t-il eu élévation de privilèges depuis l'alerte initiale ? |
| Lateral Movement | D'autres hôtes du réseau sont-ils concernés ? |
| Exfiltration | Des données sortent-elles vers une destination anormale ? |
Point clé
face à une alerte isolée, la première question à se poser est « à quelle tactique ATT&CK cette alerte correspond-elle, et quelles techniques voisines devrais-je vérifier avant de conclure ? ». Cela évite de clore trop vite une alerte qui n'est en réalité qu'un maillon d'une chaîne plus longue.
Du triage au scénario complet
Le tri d'une alerte via ATT&CK suit une logique d'enquête : identifier la technique probable associée à l'alerte, puis vérifier activement les techniques adjacentes dans la chaîne (par exemple, une alerte de découverte réseau (Discovery) doit faire vérifier s'il existe des signes de mouvement latéral ultérieur). Cette démarche s'appuie souvent sur le modèle de la Cyber Kill Chain ou sur les tactiques ATT&CK elles-mêmes comme grille de lecture chronologique.
Attention
ATT&CK décrit des comportements observés chez de vrais adversaires, pas des vulnérabilités logicielles ; une même technique (par exemple l'utilisation d'outils d'administration légitimes, dite « living off the land ») peut être totalement invisible pour un antivirus signature mais détectable via une analyse comportementale EDR correctement outillée.
Prioriser avec la couverture ATT&CK
De nombreux SOC maintiennent une carte de couverture (« heatmap ») indiquant quelles techniques ATT&CK sont effectivement détectées par leurs règles actuelles. Cet outil sert à prioriser les prochains cas d'usage de détection à développer, en visant en priorité les techniques les plus utilisées par les groupes d'attaquants pertinents pour le secteur d'activité de l'organisation.
Sur le terrain
lors d'une alerte EDR signalant l'exécution d'un outil d'administration distant (par exemple PsExec) sur un serveur data center, la qualification correcte via ATT&CK (technique associée au mouvement latéral) conduit l'analyste à immédiatement vérifier les connexions sortantes depuis ce serveur vers d'autres hôtes, plutôt que de clore l'alerte comme une activité d'administration de routine.
Astuce
conservez pour chaque cas d'usage de détection l'identifiant de technique ATT&CK associé (par exemple T1078 pour l'utilisation de comptes valides) : cela facilite l'analyse de couverture et la communication avec les équipes de threat intelligence.