Framework MITRE ATT&CK

Chaque tactique MITRE ATT&CK représente un objectif d’adversaire spécifique que l’attaquant veut accomplir à un moment donné. Les tactiques ATT&CK correspondent de près aux étapes ou phases d’une cyberattaque. Par exemple, les tactiques ATT&CK couvertes par la matrice Enterprise Matrix incluent :

• la reconnaissance : collecte d’informations pour planifier une attaque ;
   

• le développement des ressources : mise en place de ressources pour soutenir les opérations d’attaque ;
   

• l’accès initial : pénétration du système ou du réseau cible ;
   

• l’exécution : exécution de logiciels malveillants ou de code malveillant dans le système compromis ;
   

• la persistance : maintien de l’accès au système compromis (en cas d’arrêt ou de reconfiguration) ;
   

• l’escalade de privilèges : obtention d’un accès ou d’autorisations de niveau supérieur (par exemple, passage du statut d’utilisateur à celui d’administrateur) ;
   

• l’évasion de la défense : évitement des systèmes de détection une fois à l’intérieur d’un système ;
   

• l’accès aux identifiants : vol des noms d’utilisateur, des mots de passe et autres identifiants de connexion ;
   

• la découverte : recherches dans l’environnement cible pour savoir quelles ressources sont accessibles ou contrôlables à l’occasion d’une attaque planifiée ;
   

• le mouvement latéral : accès à des ressources supplémentaires au sein du système ;
   

• la collecte : collecte des données liées à l’objectif d’attaque (par exemple, les données à chiffrer et/ou à exfiltrer dans le cadre d’une attaque par ransomware) ;
   

• la commande et la prise de contrôle : établissement de communications secrètes/indétectables permettant à l’attaquant de contrôler le système ;
   

• l’exfiltration : vol des données du système ;
   

• l’mpact : interruption, corruption, désactivation ou destruction des données ou des processus métier.

Là encore, les tactiques et les techniques varient d’une matrice à l’autre (et d’une sous-matrice à l’autre). Par exemple, la matrice Mobile Matrix n’inclut pas les tactiques de reconnaissance et de développement des ressources, mais comprend d’autres tactiques comme Effets du réseau et Effets du service distant que l’on ne trouve pas dans la matrice Enterprise Matrix.

Si les tactiques MITRE ATT&CK représentent ce que les pirates veulent accomplir, les techniques MITRE ATT&CK représentent la façon dont ils tentent de l’accomplir. Par exemple, les compromissions par téléchargement drive-by et le phishing ciblé sont des types de techniques d’accès initial. L’utilisation d’un stockage sans fichier est un exemple de technique d’évasion de défense.

La base de connaissances fournit les informations suivantes pour chaque technique :

• une description et un aperçu de la technique ;
   

• toute sous-technique connue associée à la technique, par exemple, les sous-techniques de l’hameçonnage incluent le phishing ciblé par pièce jointe, le phishing ciblé par lien et le phishing ciblé via un service. À l’heure actuelle, MITRE ATT&CK a documenté 196 techniques individuelles et 411 sous-techniques ;
   

• des exemples de procédures connexes, notamment la manière dont les groupes d’attaquants utilisent la technique ou les types de logiciels malveillants utilisés pour exécuter la technique ;
   

• les atténuations : pratiques de sécurité (par exemple, formation des utilisateurs) ou logiciels (par exemple antivirus, systèmes de prévention des intrusions) qui peuvent bloquer la technique ou y remédier ;
   

• les méthodes de détection, généralement des données de journal ou de sources de données système que les équipes ou les logiciels de sécurité peuvent surveiller à la recherche de preuves de la technique.

MITRE ATT&CK prend en charge un certain nombre d’activités et de technologies utilisées par les organisations pour optimiser leurs opérations de sécurité et améliorer leur posture de sécurité globale.

Triage des alertes, détection des menaces et réponse. Les informations contenues dans MITRE ATT&CK sont extrêmement précieuses pour passer en revue et hiérarchiser l’avalanche d’alertes liées à la sécurité générées par les logiciels et les appareils d’un réseau d’entreprise typique. En effet, de nombreuses solutions de sécurité d’entreprise, telles que SIEM, UEBA, EDR (détection et réponse des terminaux) et XDR (détection et réponse étendues), peuvent ingérer les informations de MITRE ATT&CK et les utiliser pour trier les alertes, enrichir les renseignements sur les cybermenaces provenant d’autres sources et déclencher des protocoles de réponse aux incidents ou des réponses automatisées aux menaces.

Traque des menaces. La traque des menaces est un exercice de sécurité proactive dans lequel les analystes de sécurité recherchent des menaces qui ont échappé aux mesures de cybersécurité existantes. Les informations de MITRE ATT&CK sur les tactiques, les techniques et les procédures adverses fournissent des centaines de pistes pour commencer ou poursuivre la traque des menaces.

Équipe rouge / émulation d’adversaire. Les équipes de sécurité peuvent utiliser les informations dans MITRE ATT&CK pour simuler des cyberattaques réelles. Ces simulations permettent de tester l’efficacité des politiques, pratiques et solutions de sécurité mises en place, et d’aider à identifier les vulnérabilités à corriger.

Analyse des failles de sécurité et évaluations de la maturité des centres d’opérations de sécurité (SOC). L’analyse des failles de sécurité sert à comparer les pratiques et technologies de cybersécurité existantes d’une entreprise aux normes en vigueur dans le secteur. Une évaluation de la maturité SOC évalue quant à elle la maturité du SOC d’une organisation en fonction de sa capacité à bloquer ou atténuer systématiquement les cybermenaces ou les cyberattaques avec une intervention manuelle minimale ou nulle. Dans chaque cas, les données MITRE ATT&CK peuvent aider les organisations à effectuer ces évaluations en utilisant les dernières données sur les tactiques, les techniques et les atténuations des cybermenaces.

À l’instar de MITRE ATT&CK, Cyber Kill Chain, solution développée par Lockheed Martin, modélise les cyberattaques en tant que série de tactiques d’adversaire. Certaines tactiques ont même des noms identiques. Mais la ressemblance s’arrête là.

Cyber Kill Chain est davantage un cadre descriptif qu’une base de connaissances. Il est beaucoup moins détaillé que MITRE ATT&CK. Il ne couvre que sept (7) tactiques : reconnaissance, armement, livraison, exploitation, installation, commandement et contrôle, actions sur les objectifs, contre 18 pour MITRE ATT&CK (y compris les tactiques propres aux mobiles et ICS). Cyber Kill Chain ne fournit pas de modèles discrets pour les attaques sur les plateformes mobiles ou ICS et ne catalogue rien qui se rapproche du niveau d’informations détaillées sur les tactiques, les techniques et les procédures fourni par MITRE ATT&CK.

Autre distinction importante : Cyber Kill Chain repose sur l’hypothèse que toute cyberattaque doit déployer des tactiques adverses dans l’ordre pour réussir, et que le blocage de l’une de ces tactiques brisera la chaîne de frappe, empêchant ainsi l’adversaire d’atteindre son objectif final. MITRE ATT&CK n’adopte pas cette approche ; il vise à aider les professionnels de la sécurité à identifier et à bloquer ou à atténuer toute tactique ou technique adverse, quel que soit le contexte dans lequel elle est rencontrée.