Cadre MITRE ATT&CK

MITRE ATT&CK (tactiques, techniques et connaissances communes des adversaires) est une base de connaissances sur le comportement réel des adversaires. Elle fournit un langage commun pour décrire les attaques, organiser la détection et mesurer la couverture de sécurité.

ATT&CK organise le comportement des adversaires en : tactiques (le WHY — les objectifs de l’attaquant), techniques (le HOW) et sous-techniques (des variantes d’implémentation précises).

T1059 (interpréteur de commandes et de scripts) est une technique générale. Les sous-techniques précisent l’interpréteur : T1059.001 (PowerShell), T1059.003 (interpréteur de commandes Windows), T1059.007 (JavaScript).

ATT&CK Navigator est un outil accessible sur le web permettant de représenter visuellement la matrice ATT&CK. Attribuez une couleur aux techniques selon : la couverture de détection (vert), les lacunes (rouge) et le chevauchement entre acteurs de la menace (orange). Cet outil est indispensable à l’analyse des lacunes.

ATT&CK contient des profils de plus de 100 groupes de menace nommés (APT28, Lazarus, FIN7), indiquant les techniques utilisées par chacun. Le chevauchement avec les principaux acteurs menaçant votre secteur révèle vos lacunes de détection prioritaires.

Pour chaque technique, ATT&CK fournit des recommandations de détection : quelles sources de données collecter, quels éléments rechercher et quels outils utiliser. Servez-vous-en pour constituer systématiquement des bibliothèques de règles de détection.

Les équipes rouges utilisent ATT&CK pour garantir des simulations d’attaques réalistes : planifier des exercices couvrant des tactiques précises, utiliser des techniques correspondant aux acteurs connus qui ciblent votre secteur et présenter les résultats avec une mise en correspondance avec les ID de techniques.

Les équipes bleues utilisent ATT&CK pour : donner la priorité au développement de règles de détection, évaluer la couverture de détection avec Navigator, associer les alertes SIEM à des ID de techniques et mesurer les progrès au fil du temps.

ATT&CK propose des matrices pour différents domaines : Entreprise (Windows/Linux/macOS/environnements infonuagiques), Mobile (iOS/Android) et ICS (systèmes de contrôle industriel). Sélectionnez la matrice correspondant à votre environnement.

MITRE D3FEND est le pendant défensif d’ATT&CK : il met en correspondance les techniques défensives (isoler, détecter, renforcer) et les techniques offensives d’ATT&CK auxquelles elles s’opposent. Utilisez les deux ensemble pour une architecture de sécurité complète.

Intégrez ATT&CK aux processus de travail standards : étiquetez les alertes SIEM avec des ID de techniques, exigez que les rapports des équipes rouges comportent une mise en correspondance avec ATT&CK, utilisez les ID de techniques dans les demandes de traitement des vulnérabilités et suivez mensuellement les indicateurs de couverture.

Que permet à une équipe de sécurité de visualiser ATT&CK Navigator ?

ATT&CK est le langage commun des opérations de sécurité modernes. Mettez-y vos détections en correspondance, trouvez les lacunes, établissez les priorités en fonction des acteurs qui ciblent votre secteur et utilisez Navigator pour communiquer la couverture aux responsables. Chaque alerte du SOC devrait être associée à un ID de technique : cela transforme les alertes individuelles en une vision stratégique du comportement des adversaires dans votre environnement.