Arbres d’attaque et hiérarchisation des risques

Un arbre d’attaque est un diagramme qui modélise la manière dont un attaquant pourrait atteindre un objectif. L’objectif se trouve à la racine, et les branches montrent les différents parcours et sous-étapes nécessaires pour l’atteindre.

Alors que STRIDE énumère les types de menaces, les arbres d’attaque explorent les parcours concrets qu’un attaquant pourrait emprunter. Ils sont particulièrement utiles pour raisonner sur une cible précise de grande valeur.

Le nœud racine est l’objectif ultime de l’attaquant, par exemple « voler les données de paiement des clients ». Les nœuds enfants sont les sous-objectifs ou les méthodes qui permettent d’atteindre le parent.

Vous construisez l’arbre en posant à plusieurs reprises la question suivante : « Comment un attaquant pourrait-il réaliser ce nœud ? » Chaque réponse devient un enfant, et vous poursuivez la décomposition jusqu’à atteindre des actions concrètes et exploitables au niveau des feuilles.

Les arbres d’attaque utilisent deux relations logiques entre un nœud et ses enfants :

• nœuds OR — un seul enfant suffit pour atteindre le parent (parcours alternatifs)
• nœuds AND — tous les enfants doivent être atteints ensemble (étapes nécessaires)

Cette distinction est essentielle : un nœud OR signifie que l’attaquant n’a besoin que du parcours le plus facile, tandis qu’un nœud AND l’oblige à franchir chaque étape.

Voici un arbre d’attaque textuel visant le vol de données de paiement :

Les arbres d’attaque deviennent puissants lorsque vous annotez les nœuds feuilles avec des attributs qui aident à établir les priorités :

• Coût pour l’attaquant
• Difficulté ou compétence requise
• Détectabilité (cela déclenchera-t-il une alarme ?)
• Probabilité de réussite

Vous reportez ensuite ces informations vers le haut de l’arbre. Pour un nœud OR, l’attaquant choisit l’enfant le moins coûteux et le plus facile, ce qui révèle votre maillon le plus faible.

Pour établir les priorités, vous avez besoin d’un score de risque. La formule classique combine deux facteurs :

DREAD est une méthode structurée pour évaluer les menaces selon cinq dimensions. Chacune reçoit une note, puis les notes sont combinées pour obtenir un score de priorité :

• Dommages — quelle est la gravité de l’impact ?
• Répétabilité — avec quelle fiabilité l’attaque peut-elle être répétée ?
• Exploitabilité — est-elle facile à exécuter ?
• Atteinte des utilisateurs — combien d’utilisateurs sont touchés ?
• Détectabilité — est-il facile de la découvrir ?

DREAD est quelque peu subjectif ; utilisez donc des définitions de notation cohérentes dans toute l’équipe.

Une matrice des risques représente la probabilité en fonction de l’impact afin de fournir une vue immédiate des priorités :

Une fois les menaces classées, décidez de la manière de traiter chacune d’elles. Les quatre options sont les mêmes que pour l’atténuation dans STRIDE :

• Atténuer — ajouter des mesures de protection pour réduire la probabilité ou l’impact
• Éliminer — supprimer entièrement la fonctionnalité à risque
• Transférer — en confier la charge à une assurance ou à un tiers
• Accepter — documenter officiellement l’acceptation d’un risque faible

Consacrez d’abord votre budget limité aux éléments présentant le plus grand risque ; ne surdimensionnez pas les mesures pour des menaces à faible risque.

Une mesure d’atténuation n’est pertinente que si son coût est justifié par le risque qu’elle réduit. Une mesure de protection qui coûte plus cher que l’actif qu’elle protège constitue un mauvais investissement.

Pour chaque mesure de protection envisagée, évaluez :

• Dans quelle mesure cette mesure réduit-elle le risque ?
• Combien coûte-t-elle à concevoir et à exploiter ?
• Introduit-elle des contraintes ou de nouveaux risques ?

Privilégiez les mesures de protection qui bloquent plusieurs parcours d’attaque à la fois, comme la MFA, qui ferme de nombreuses branches de prise de contrôle de comptes.

La priorisation n’est pas une démarche ponctuelle. Suivez chaque menace identifiée dans un registre des risques en indiquant son score, la réponse choisie, le responsable et l’état.

Réexaminez le registre lorsque :

• Une nouvelle menace ou vulnérabilité apparaît
• La valeur du système ou de ses actifs change
• Une mesure d’atténuation est mise en œuvre (réévaluez le risque résiduel)

Les risques acceptés doivent avoir une date d’expiration et faire l’objet d’un nouvel examen, plutôt que d’être acceptés puis oubliés.

Évaluez votre compréhension des arbres d’attaque et de la priorisation des risques.

Vous avez appris à classer les menaces et à choisir des mesures d’atténuation :

• Les arbres d’attaque modélisent les parcours menant à l’objectif d’un attaquant, avec des nœuds AND (tous nécessaires) et OR (un seul suffit)
• Annotez les nœuds avec le coût, la difficulté et la détectabilité pour trouver le maillon le plus faible
• Établissez les priorités avec Risque = Probabilité x Impact, la notation DREAD et une matrice des risques
• Choisissez d’atténuer, d’éliminer, de transférer ou d’accepter, en mettant en balance le coût et le bénéfice
• Suivez tout dans un registre des risques et réexaminez-le au fil de l’évolution du système

Cette leçon achève le cours de modélisation des menaces avec STRIDE.