Cartographie MITRE ATT&CK

MITRE ATT&CK est une base de connaissances librement accessible sur les tactiques et techniques employées par les attaquants dans le monde réel, organisée selon un langage commun.

Elle permet aux défenseurs de décrire les actions d'un attaquant à l'aide de termes communs et précis.

Les tactiques sont les objectifs de l'attaquant, c'est-à-dire la raison d'une action. Elles forment les colonnes de la matrice ATT&CK.

• Accès initial, exécution, persistance.
• Élévation de privilèges, contournement des défenses.
• Accès aux identifiants, déplacement latéral, exfiltration.

Les techniques sont les moyens précis par lesquels un attaquant réalise une tactique. Chacune possède un ID unique.

Les sous-techniques ajoutent des détails plus précis sous une technique parente.

Les procédures sont les mises en œuvre concrètes utilisées par un groupe donné pour appliquer une technique.

Ensemble, les tactiques, techniques et procédures forment les TTP qui se trouvent au sommet de la pyramide de la douleur.

La matrice ATT&CK place les tactiques en haut et les techniques dans chaque colonne. Vous lisez une attaque comme un parcours allant de gauche (accès initial) à droite (impact).

Mettre une chasse en correspondance avec cette matrice permet de visualiser le parcours de l'attaquant.

Lorsqu'une chasse révèle une activité suspecte, associez-lui l'ID de technique correspondant.

La découverte devient ainsi interrogeable, comparable et immédiatement compréhensible par tout analyste.

Reliez les techniques mises en correspondance pour former un récit de l'intrusion à travers les tactiques.

Une séquence d'ID raconte toute l'histoire, de l'intrusion initiale à l'exfiltration, dans un langage commun.

L'ATT&CK Navigator est un outil visuel permettant d'annoter la matrice. Vous pouvez mettre en évidence les techniques que vous pouvez détecter, celles que vous ne pouvez pas détecter et celles qui ont été observées lors d'une chasse.

Les cartes de couverture utilisant des couleurs révèlent vos angles morts défensifs.

Associez vos détections existantes aux techniques ATT&CK pour voir lesquelles vous détecteriez et lesquelles vous manqueriez.

Les lacunes de la matrice deviennent vos prochaines hypothèses de chasse et vos prochaines règles de détection.

Vous ne pouvez pas couvrir toutes les techniques. Utilisez le renseignement sur les menaces pour vous concentrer sur les techniques employées par les groupes qui ciblent réellement votre secteur d'activité.

Vous concentrez ainsi vos efforts là où se trouve le risque réel.

La valeur durable d'ATT&CK réside dans un vocabulaire commun aux chasseurs, aux équipes de réponse et aux fournisseurs.

Lorsque tout le monde dit T1059.001, il n'y a aucune ambiguïté et les découvertes de différentes équipes se combinent facilement.

Évaluez votre compréhension de la mise en correspondance avec ATT&CK.

Vous avez appris à mettre vos découvertes en correspondance avec MITRE ATT&CK.

• ATT&CK est une base de connaissances commune sur les comportements des attaquants.
• Les tactiques expliquent le pourquoi, les techniques le comment et les procédures les modalités concrètes.
• Mettez les découvertes en correspondance avec les ID de techniques et reliez-les pour construire des récits d'attaque.
• Utilisez Navigator pour visualiser la couverture des détections et les lacunes.
• Établissez les priorités entre les techniques grâce au renseignement sur les menaces ; ATT&CK constitue un langage commun.

Vous avez terminé le cours sur la chasse aux cybermenaces.