Couverture de détection

Définition

La couverture de détection est un indicateur qui mesure la proportion des techniques d'attaque, des actifs ou des vecteurs de menace effectivement surveillés par les capacités de détection d'une organisation, typiquement évaluée à l'aide du référentiel MITRE ATT&CK. Elle répond à une question centrale pour un RSSI : parmi l'ensemble des tactiques et techniques connues des attaquants, combien disposent réellement d'une règle de détection, d'une source de journalisation exploitable et d'une alerte fonctionnelle dans le SIEM ou l'EDR de l'organisation. La couverture de détection s'évalue par cartographie, appelée souvent heatmap ATT&CK, croisant les techniques documentées avec les capacités de journalisation et de corrélation réellement déployées, incluant les angles morts liés à des sources de logs absentes, mal configurées ou non ingérées. Elle intègre également la dimension des actifs : postes de travail, serveurs, environnements cloud, systèmes industriels OT, chacun présentant des niveaux de couverture potentiellement très différents. Une faible couverture sur des techniques critiques, comme le mouvement latéral ou l'exfiltration de données, constitue un risque majeur souvent ignoré tant qu'un incident réel ne le révèle pas. L'amélioration de la couverture de détection passe par des exercices de purple team, confrontant les capacités défensives à des simulations d'attaque réalistes, et par l'enrichissement continu des sources de journalisation. Cet indicateur figure de plus en plus dans les tableaux de bord de sécurité et les évaluations de niveau de maturité en cybersécurité.