Définir et comprendre le framework MITRE ATT&CK

Résumé

Le framework MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) est une base de connaissance publique, régulièrement mise à jour, qui recense les comportements des attaquants. Il a été initialement développé par la société MITRE en 2013. Il organise le comportement des adversaires en 14 tactiques d’entreprise — de la reconnaissance et de l’accès initial à l’exfiltration et à l’impact — et associe des techniques spécifiques à chacune d’elles. Les équipes sécurité peuvent utiliser cette matrice pour évaluer leurs défenses, hiérarchiser les vulnérabilités et suivre l’évolution des menaces au fil du temps.

Comprendre le framework et la matrice MITRE ATT&CK

Le framework MITRE ATT&CK est un ensemble d’objectifs et de techniques utilisés par les pirates informatiques. La MITRE Corporation (une organisation à but non lucratif spécialisée dans la recherche et le développement) a élaboré et gère cette base de connaissances.

Le nom ATT&CK est un acronyme qui signifie « tactiques, techniques et connaissances communes adverses ».

Expliquons ce que contient cette base de données, puis présentons comment vous pouvez utiliser ces informations pour protéger les ressources de votre entreprise.  

Qu’est-ce que le framework MITRE ATT&CK ?

Et si vous disposiez d’une liste constamment mise à jour de tout ce que vos adversaires souhaitent vous faire ? Et si cette liste contenait également des informations sur la façon dont ces personnes prévoyaient de vous nuire ?

En 2013, les responsables de la MITRE Corporation ont décidé de répondre à cette question dans le cadre du projet de recherche FMX. Ils ont recueilli des données sur les attaques survenant sur les réseaux d’entreprise, et ils ont testé différents mécanismes de défense pour vérifier leur efficacité. Avec le temps, la base de données est devenue si robuste et précieuse que l’équipe a décidé de partager ses connaissances avec un public plus large. La matrice MITRE ATT&CK a vu le jour. 

Les informations contenues dans la matrice sont partagées sous forme de tableau. Les liens vous permettent d’approfondir la recherche, et vous pouvez revenir régulièrement pour suivre l’évolution d’une menace au fil du temps.

La matrice est divisée en deux zones cruciales.

Comprendre la terminologie MITRE demande du temps et un peu de pratique. Mais cela en vaut la peine. À mesure que les recherches sur MITRE ATT&CK gagnent en popularité, les professionnels de l’informatique ont tendance à intégrer ces termes dans leurs discussions sur les menaces auxquelles ils sont confrontés. Plus vous en savez sur l’avancement de la recherche, plus il vous sera facile de participer à ces discussions.  

Quelles sont les tactiques MITRE ATT&CK ?

Chaque tactique répond à la question « Pourquoi ? » Considérez-les comme les motivations qui poussent les attaquants à agir.

L’équipe du MITRE en a identifié 14 pour les personnes travaillant dans un environnement d’entreprise. Nous ajouterons un lien vers la page MITRE dédiée à cette attaque, afin que vous puissiez approfondir la recherche et comprendre chaque tactique ainsi que l’évolution des méthodes au fil du temps.

Les tactiques reconnues dans les entreprises incluent :

• Développement des ressources. Votre adversaire cherche à faire en sorte que les attaques aboutissent. Si l’attaquant ou l’attaquante dispose de nombreux outils, cette attaque et la suivante pourraient s’avérer encore plus efficaces. 
• Reconnaissance. Votre attaquant ou attaquante cherche à recueillir des informations vous concernant, de manière passive ou active, afin de fonder son attaque sur des données et d’augmenter ainsi ses chances de réussite. 
• Accès initial. Votre attaquant cherche à pénétrer dans votre environnement et à établir un point d’ancrage susceptible d’être exploité à mesure que l’attaque progresse. 
• Exécution. Votre attaquant cherche à prendre le contrôle en exécutant du code soit sur un système local, soit sur une version distante. 
• Persistance. Le hacker cherche à rester en place, même si vous redémarrez le système, modifiez les identifiants ou tentez autrement de sécuriser votre environnement. 
• Élévation des privilèges. Votre hacker souhaite aller au-delà du simple statut d’utilisateur ou d’utilisatrice du réseau. Le hacker cherche à obtenir davantage de privilèges afin de pouvoir atteindre ses objectifs. 
• Contournement des défenses. Le cyberpirate souhaite rester invisible, même si vous recherchez une personne malveillante à l'aide d'un logiciel de sécurité. 
• Accès aux identifiants. L’adversaire cherche à dérober des identifiants, notamment des noms d’utilisateur et des mots de passe, qui pourraient être revendus ou utilisés ultérieurement. 
• Découverte. Votre intrus souhaite en savoir plus sur la configuration de votre système et sur votre réseau, afin que l’étape suivante se déroule sans accroc. 
• Déplacement latéral. Un pirate informatique cherche à accéder à distance à tous les systèmes distants que vous possédez sur votre réseau et à en prendre le contrôle. 
• Collecte. Votre intrus cherche à recueillir encore plus d’informations à la fois sur vous et sur vos ressources. 
• Commande et contrôle. Votre adversaire cherche à communiquer avec des systèmes sur votre réseau. Idéalement, la personne peut également contrôler ces systèmes. 
• Exfiltration. Le hacker cherche à voler des données et à les extraire de votre système. 
• Impact. Votre adversaire cherche à limiter votre disponibilité ou à manipuler vos processus. 

Si vous travaillez dans un environnement mobile, les approches restent sensiblement les mêmes. Mais deux nouvelles tactiques figurent sur cette liste et ne concernent pas les situations en entreprise. Les voici :

• Effets de réseau. Votre adversaire cherche à intercepter ou à manipuler le trafic entrant ou sortant d’un appareil. 
• Effets des services à distance. Un hacker tente soit de prendre le contrôle d’un appareil, soit de surveiller un appareil à l’aide de services à distance. 

Considérez ces tactiques comme une liste de souhaits pour les cybercriminels. Suivez-les dans l’ordre, et vous comprendrez précisément ce qu’une personne souhaite accomplir lorsqu’elle accède à votre environnement, ainsi que la façon dont chaque étape découle de la précédente. Vous commencez peut-être à comprendre pourquoi il est si essentiel d’arrêter une attaque dès ses premières étapes.  

Quelles sont les techniques MITRE ATT&CK ?

Quelles étapes votre adversaire doit-il suivre pour atteindre ses objectifs de piratage ? Ces actions sont des techniques.

Dans la matrice MITRE ATT&CK, les techniques sont regroupées selon la même méthodologie que celle qui régit les tactiques. Cela signifie qu’il existe deux ensembles : un pour les environnements d’entreprise et un pour les environnements mobiles. 

Analysez ces données et vous comprendrez précisément ce que votre attaquant prévoit de faire, ainsi que les outils et technologies nécessaires pour atteindre son objectif.

3 façons d’utiliser la matrice MITRE ATT&CK

De nombreuses données vous attendent, si vous choisissez d’explorer le site web du MITRE. Les informations évoluent régulièrement, il est donc nécessaire de revenir fréquemment pour comprendre comment les hackers font évoluer leurs méthodes. 

Pourquoi vous infliger toutes ces complications ? Vous pourriez utiliser les données pour :

• Évaluer. Dans quelle mesure vos outils résisteraient-ils à une attaque menée par un hacker de premier plan ? Des événements imprévus surviennent-ils dans votre entreprise ?
• Priorisation. Tout système de sécurité pourrait être amélioré. Par où commencer ? Comprendre le paysage actuel peut vous aider à identifier les principales vulnérabilités qu’il est essentiel de corriger. 
• Suivre. Comment le paysage de la sécurité évolue-t-il ? Que font vos adversaires connus ? Vous pouvez consulter ces données dans la base de données. 

De manière générale, l’équipe du MITRE contribue à partager le renseignement sur les menaces et les enseignements tirés, afin que vous puissiez accomplir votre travail dans les meilleures conditions. Il est utile de plonger de temps en temps dans la matrice afin de savoir exactement quoi faire pour garder une longueur d’avance sur les personnes malveillantes. 

Vous souhaitez obtenir encore plus d’informations sur les menaces actuelles ? Nous proposons un webinar consacré à l’intelligence de sécurité en temps réel qui mérite votre attention. Découvrez-le.  

Foire aux questions (FAQ)

Que signifie ATT&CK dans MITRE ATT&CK ?

ATT&CK est un acronyme pour « tactiques, techniques et connaissances adverses » — un cadre structuré qui documente les objectifs et méthodes utilisés par les attaquants contre les environnements d’entreprise et mobiles.

Quand le framework MITRE ATT&CK a-t-il été créé ?

Le framework a vu le jour en 2013 grâce au projet de recherche FMX de la MITRE Corporation, qui a recueilli des données sur les attaques visant les réseaux d’entreprise et testé différents mécanismes de défense avant de partager publiquement les résultats.

Quelle est la différence entre les tactiques et les techniques dans la matrice MITRE ATT&CK ?

Les tactiques représentent le « pourquoi » : la motivation ou l’objectif de l’adversaire à une étape donnée d’une attaque. Les techniques représentent le « comment » : les actions précises qu’un attaquant met en œuvre pour atteindre cet objectif.

Combien de tactiques d'entreprise le framework MITRE ATT&CK couvre-t-il ?

Le cadre identifie 14 tactiques d’entreprise, allant de la reconnaissance et de l’accès initial jusqu’à l’exfiltration et à l’impact, chacune étant liée à des recherches détaillées sur le site web MITRE.

Existe-t-il des différences entre les tactiques MITRE ATT&CK pour les entreprises et celles pour les environnements mobiles ?

La plupart des tactiques s’appliquent aux deux environnements, mais la matrice mobile comprend deux tactiques supplémentaires absentes de la version destinée aux entreprises : les effets de réseau (interception ou manipulation du trafic de l’appareil) et les effets de service à distance (contrôle ou surveillance d’un appareil via des services à distance).

Comment les équipes sécurité peuvent-elles utiliser concrètement la matrice MITRE ATT&CK ?

Les équipes sécurité peuvent utiliser la matrice de trois manières principales : pour évaluer dans quelle mesure les outils existants résistent aux méthodes d’attaque connues, pour hiérarchiser les vulnérabilités nécessitant une attention prioritaire et pour suivre l’évolution du paysage des menaces et des comportements des adversaires au fil du temps.

Références

Foire aux questions. The MITRE Corporation. 

Reconnaissance. The MITRE Corporation. 

Développement des ressources. The MITRE Corporation. 

Accès initial. The MITRE Corporation. 

Exécution. La MITRE Corporation. 

Persistance. La MITRE Corporation. 

Élévation des privilèges. The MITRE Corporation. 

Évasion des défenses. The MITRE Corporation.

Accès aux identifiants The MITRE Corporation. 

Découverte. The MITRE Corporation. 

Déplacement latéral. The MITRE Corporation. 

Collection. The MITRE Corporation. 

Commande et contrôle. The MITRE Corporation. 

Exfiltration. The MITRE Corporation 

Impact. The MITRE Corporation. 

Stratégies mobiles. The MITRE Corporation. 

Techniques pour les entreprises. The MITRE Corporation. 

Techniques mobiles. La MITRE Corporation.