ATT&CK ICS - Discovery (Reconnaissance interne ICS)

Définition

La tactique "Discovery" (TA0102) du framework MITRE ATT&CK for ICS regroupe les techniques utilisées par un adversaire qui a obtenu un accès initial pour cartographier l'environnement OT cible : identifier les équipements présents, leurs types, versions, configurations, et les topologies réseau. Cette phase de reconnaissance interne est essentielle pour les adversaires ciblant des systèmes OT spécifiques car les environnements industriels sont souvent hautement personnalisés et l'adversaire doit adapter ses TTPs au système cible. Les techniques de Discovery ICS documentées incluent : Network Sniffing (T0842) - écoute du trafic réseau industriel pour identifier les équipements communicants et leurs protocoles, Remote System Discovery (T0846) - utilisation de scans réseau pour identifier les systèmes actifs sur les réseaux de contrôle, Remote System Information Discovery (T0888) - collecte d'informations sur les systèmes distants (versions OS, versions firmware), Wireless Sniffing (T0887) - écoute des communications sans fil industrielles (WirelessHART, ISA100.11a, WiFi industriel), et I/O Module Discovery (T0824) - identification des modules d'entrées/sorties connectés aux PLC/DCS. La particularité de Discovery dans les environnements ICS est que le simple fait d'envoyer des requêtes de découverte actives (scans) peut provoquer des perturbations dans les équipements OT fragiles. Certains équipements industriels anciens peuvent planter ou redémarrer si soumis à un trafic réseau inhabituel (requêtes ICMP non standard, scans de ports). C'est pourquoi les adversaires sophistiqués en environnement OT privilégient le Network Sniffing passif pour la phase Discovery, extrayant les informations de cartographie depuis le trafic légitime sans générer de trafic actif qui pourrait être détecté ou causer des dommages. Havex (2014) a utilisé un module de Discovery OPC spécifique qui scannait les serveurs OPC disponibles sur le réseau local, extrayant des informations détaillées sur les configurations industrielles des victimes (liste des tags OPC, valeurs, hiérarchie d'équipements).