Le framework MITRE ATT&CK : à quoi il sert

Si chaque équipe décrivait les attaques avec ses propres mots, il serait impossible de partager des détections, de comparer des exercices ou de se comprendre entre un testeur d'intrusion et un analyste. MITRE ATT&CK est le langage commun qui a résolu ce problème. Ce n'est pas un logiciel ni une norme à certifier : c'est une grande base de connaissances publique des comportements d'attaquants observés dans le monde réel. Cette leçon explique comment le lire et surtout comment l'utiliser.

La structure : tactiques, techniques, sous-techniques

Le framework, consultable librement sur attack.mitre.org, organise les comportements en une matrice à trois niveaux :

• les tactiques (les colonnes) : pourquoi l'adversaire agit, son objectif à ce stade ;
• les techniques : comment il atteint cet objectif ;
• les sous-techniques : des variantes plus précises d'une technique.

Chaque technique possède un identifiant : par exemple, T1110 pour la recherche de mots de passe par force brute, T1566 pour l'hameçonnage, T1078 pour l'utilisation de comptes valides, ou T1558.003 pour la sous-technique de vol de tickets Kerberos évoquée au chapitre 1. Ces identifiants permettent à n'importe quel professionnel de comprendre immédiatement de quoi on parle, quelle que soit sa langue.

Les tactiques, dans l'ordre d'une intrusion type

Pour la matrice « entreprise », on trouve une quinzaine de tactiques environ. On peut les lire comme les chapitres d'une histoire d'attaque :

Vous reconnaissez déjà plusieurs éléments des chapitres précédents : l'énumération d'un annuaire relève de la découverte, le Kerberoasting de l'accès aux identifiants, les chemins vers les comptes d'administration du mouvement latéral et de l'élévation de privilèges.

Ce que contient une fiche de technique

Sur le site, chaque technique est documentée avec :

• une description du comportement ;
• des exemples de procédures, c'est-à-dire des cas réels attribués à des groupes d'attaquants ou des logiciels malveillants connus ;
• des mesures d'atténuation pour la défense ;
• des pistes de détection : quelles sources de données et quels événements surveiller.

C'est ce dernier point qui fait de ATT&CK un outil de défense avant tout : pour chaque technique, on sait où chercher.

Cinq usages concrets

1. Décrire une attaque. Dans un rapport d'incident ou d'audit, rattacher chaque constat à une technique donne un langage partagé. « Technique T1078 : comptes valides » en dit plus qu'une longue phrase.
2. Mesurer sa couverture de détection. On liste les techniques jugées pertinentes pour l'organisation et on coche celles pour lesquelles une détection existe réellement. Les cases vides indiquent où investir. Un outil de visualisation proposé par MITRE permet de colorer la matrice selon la couverture.
3. Préparer des exercices. Red team et purple team choisissent leurs scénarios dans le catalogue (leçon 3 du chapitre précédent).
4. Exploiter le renseignement sur la menace. Les profils de groupes d'attaquants listent les techniques qu'ils emploient : on peut en déduire ce qui est pertinent pour son secteur.
5. Former et recruter. Le framework donne une grille de lecture commune : « quelles techniques maîtrisez-vous ? » est une question d'entretien légitime.

Les limites et les mauvais usages

• Ce n'est pas une liste de contrôle à cocher. Avoir « couvert » toutes les techniques n'est ni réaliste ni suffisant. On priorise selon les risques propres à l'organisation.
• Une case verte n'est pas une garantie. Une détection peut exister pour une variante d'une technique et pas pour une autre ; elle peut aussi être contournée. La couverture se vérifie par des tests, notamment en purple team.
• Le contenu évolue. Le framework est régulièrement mis à jour : ne figez pas votre connaissance sur un numéro de version, consultez le site.
• Il décrit les comportements observés, pas toutes les possibilités. Une technique absente n'est pas impossible.

Autres cadres à connaître

ATT&CK n'est pas seul. L'OWASP (owasp.org) fournit des référentiels pour la sécurité des applications web, que vous avez rencontrés dans le cours de pentest web. Le NIST (nist.gov) publie des cadres de gestion des risques et des guides sur la réponse à incident. Les bases de vulnérabilités (cve.org et nvd.nist.gov) recensent les failles identifiées. Chacun répond à une question différente : que fait l'attaquant ? (ATT&CK), quelles faiblesses applicatives ? (OWASP), quelle faille précise ? (CVE), comment gérer le risque ? (NIST).

À vous de jouer

Voici un scénario fictif d'intrusion dans l'entreprise Atelier Boréal. Associez chaque étape à la tactique ATT&CK la plus appropriée :

1. Une employée reçoit un courriel de phishing et ouvre la pièce jointe.
2. Le programme malveillant crée une tâche planifiée pour se relancer au démarrage.
3. L'attaquant liste les groupes et les machines de l'annuaire.
4. Il utilise des identifiants récupérés pour se connecter à un serveur de fichiers.
5. Il copie des plans clients vers un service externe.