Détecter une intrusion : IOC et TTP

Comment sait-on qu'une intrusion a eu lieu ? Les enquêteurs cherchent deux sortes de traces : des objets (une adresse, un fichier, un nom de domaine) et des comportements (une façon d'agir). Les premiers s'appellent des indicateurs de compromission (IOC), les seconds relèvent des tactiques, techniques et procédures (TTP). Les distinguer vous permet de comprendre pourquoi certaines détections vieillissent en quelques jours alors que d'autres durent des années.

Les indicateurs de compromission (IOC)

Un IOC (indicator of compromise) est un indice observable qui suggère qu'un système a été compromis ou ciblé. Comparez-le à une empreinte digitale ou à un mégot de cigarette retrouvé sur une scène de crime : c'est un objet précis, que l'on peut chercher ailleurs. Les familles courantes sont :

• une adresse IP ou un nom de domaine utilisés par l'attaquant pour communiquer ;
• une empreinte de fichier (hash), qui identifie un fichier malveillant précis ;
• un nom de fichier ou un chemin inhabituel ;
• une clé de registre ou une tâche planifiée créées pour persister sur la machine ;
• une adresse de courriel ou un objet de message utilisés dans une campagne de phishing ;
• un agent utilisateur (la signature d'un navigateur ou d'un outil) atypique dans des requêtes web.

Leur grande qualité est la précision : en cherchant une empreinte de fichier connue dans le parc, on obtient une réponse claire (présent ou absent). Les IOC se partagent facilement : des communautés échangent des listes, y compris entre organisations, avec des règles de confidentialité (par exemple le système de couleurs du Traffic Light Protocol, qui indique jusqu'où une information peut circuler).

La fragilité des IOC

Leur grand défaut est la durée de vie courte. Un attaquant change d'adresse IP, de domaine, recompile son logiciel (ce qui modifie son empreinte) en quelques minutes. Un indicateur qui était excellent la semaine dernière peut aujourd'hui ne rien détecter, ou pire, désigner une adresse maintenant attribuée à un service légitime et provoquer des fausses alertes. Il est donc essentiel de savoir :

• d'où vient l'indicateur et quand il a été observé ;
• combien de temps on le surveille avant de le retirer ;
• à quel niveau de confiance il est associé.

Un IOC est une excellente détection rétrospective (« avons-nous déjà vu cela chez nous ? ») et un complément utile, mais il ne remplace pas la détection de comportement.

Les tactiques, techniques et procédures (TTP)

Les TTP décrivent la manière d'agir d'un attaquant :

• la tactique est l'objectif à un moment donné : « obtenir un premier accès », « rester présent », « voler des identifiants », « se déplacer vers d'autres machines » ;
• la technique est la façon générale d'y parvenir : « envoyer un courriel de phishing », « deviner des mots de passe », « utiliser un compte valide volé » ;
• la procédure est l'implémentation précise qu'un groupe donné emploie.

Une analogie : un cambrioleur peut changer de voiture, de vêtements et de lieu à chaque cambriolage (les IOC), mais conserve ses habitudes : il agit de nuit, repère les maisons vides pendant les vacances, force toujours la même sorte de serrure. Ses habitudes sont plus difficiles à changer que ses accessoires. C'est exactement la logique des TTP.

Pourquoi les comportements durent plus longtemps

Changer d'adresse IP coûte presque rien à un attaquant. Changer sa manière de procéder (la façon dont il obtient des identifiants, dont il se déplace dans le réseau) demande du temps, de la formation, de nouveaux outils, et l'oblige souvent à renoncer à ce qui fonctionne. Plus un indicateur porte sur un élément coûteux à modifier, plus la détection est durable. On représente parfois cela comme une pyramide : en bas, les éléments que l'adversaire change sans effort (empreintes de fichiers, adresses) ; en haut, ses outils et surtout ses TTP. Détecter en haut de la pyramide, c'est imposer des coûts à l'adversaire.

Une détection fondée sur le comportement

Revenons à l'exemple du chapitre 1 : le Kerberoasting. Une détection fondée sur un IOC chercherait le nom d'un outil précis ; elle échouerait si l'attaquant en utilise un autre. Une détection fondée sur le TTP surveille le comportement : « un même compte demande, en peu de temps, des tickets de service pour de nombreux services différents, notamment avec un chiffrement ancien ». Cette règle fonctionne quel que soit l'outil.

La détection de comportement a ses contraintes : elle demande des journaux adaptés, un réglage fin (qu'est-ce qu'un volume « normal » ?) et des analystes capables d'interpréter. Mais elle offre une protection plus durable.

La chasse aux menaces

La chasse aux menaces (threat hunting) consiste à chercher activement des traces d'intrusion que les alertes n'ont pas vues. Elle part d'une hypothèse, souvent fondée sur des TTP : « si un adversaire utilisait des comptes de service pour se déplacer, quelles connexions inhabituelles trouverions-nous ? ». Le chasseur interroge ses données, affine, conclut : soit il trouve quelque chose, soit il documente que l'hypothèse est écartée, et il en tire parfois une nouvelle règle de détection permanente.

Comment bien utiliser les deux

• IOC : pour confirmer rapidement une compromission connue, bloquer des éléments clairement hostiles, enrichir les alertes ;
• TTP : pour bâtir la détection durable et orienter la chasse ;
• Les deux ensemble : un IOC trouvé dans une enquête conduit à examiner les comportements autour ; un comportement suspect conduit à extraire de nouveaux IOC à rechercher dans le reste du parc.

À vous de jouer

Classez chacun des éléments suivants en IOC ou en TTP, et indiquez lequel vous semble le plus durable :

1. Le domaine maj-service.example.invalid contacté par un poste (domaine fictif).
2. L'ouverture de session d'un compte d'administration depuis un poste ordinaire, suivie d'une exploration de partages de fichiers.
3. L'empreinte SHA-256 d'un fichier malveillant identifié par un analyste.
4. La création d'une tâche planifiée déclenchée au démarrage, par un compte non administrateur, qui lance un programme situé dans un dossier temporaire.
5. L'adresse IP 192.0.2.77 (adresse de documentation) vers laquelle un serveur envoie un gros volume de données.