Cyber Kill Chain — MITRE ATT&CK alignment

ATT&CK Navigator — visualisation de la couverture

ATT&CK Navigator (attack.mitre.org/resources/navigator/) est un outil web open-source qui permet de visualiser et annoter la matrice ATT&CK. Usages principaux : cartographier les TTPs d'un acteur spécifique (colorer les techniques utilisées par APT29 pour préparer un exercice Red Team ciblé), évaluer la couverture de détection du SOC (colorer en vert les techniques détectées par l'EDR, en rouge les gaps), comparer deux layers (avant/après déploiement d'un nouvel outil de détection — mesure l'amélioration). Les layers ATT&CK sont en JSON et peuvent être importés/exportés — des feeds de threat intel (Mandiant ATT&CK, MISP, Recorded Future) génèrent automatiquement des layers ATT&CK pour les groupes d'acteurs. L'ATT&CK Evaluations (attacker.mitre.org/evaluations/) évalue publiquement les produits de sécurité (EDR, SIEM) sur leur couverture de détection ATT&CK — données précieuses pour comparer les produits.

Sigma Rules — règles de détection ATT&CK en format neutre

Sigma est un format de règles de détection générique qui peut être converti en requêtes spécifiques à n'importe quel SIEM (Splunk SPL, Elasticsearch KQL, Microsoft Sentinel, QRadar LEEF). Chaque règle Sigma décrit un pattern de détection en YAML avec un mapping vers la technique ATT&CK correspondante. Exemple : une règle Sigma pour détecter le Kerberoasting (T1558.003) recherche l'EventID Windows 4769 avec des paramètres spécifiques (ticket_encryption_type=0x17 qui correspond à RC4 — les comptes de service robustes utilisent AES, le RC4 signale une demande potentiellement malveillante). SigmaHQ (github.com/SigmaHQ/sigma) centralise des milliers de règles Sigma communautaires organisées par technique ATT&CK. L'outil sigmatools ou sigma-cli convertit ces règles en requêtes SIEM spécifiques. La communauté Sigma est l'une des ressources de détection open-source les plus précieuses pour les SOCs avec des budgets limités.

D3FEND — framework des contre-mesures défensives

MITRE D3FEND (Defensive Knowledge Base) est le complément défensif de ATT&CK. Là où ATT&CK catalogue les techniques offensives des adversaires, D3FEND catalogue les contre-mesures défensives correspondantes. D3FEND organise les techniques défensives en : Harden (renforcement — patch, configuration sécurisée), Detect (détection — monitoring, alertes), Isolate (isolation — sandbox, segmentation), Deceive (déception — honeypots), et Evict (éradication — suppression des malwares, révocation des accès). Pour chaque technique ATT&CK (ex: T1003.001 LSASS Memory — extraction de credentials depuis LSASS), D3FEND liste les contre-mesures correspondantes (Credential Hardening, Process Eviction, System Call Filtering). La cartographie ATT&CK offensive → D3FEND défensif permet de s'assurer que pour chaque technique d'attaque connue, au moins une contre-mesure est en place. D3FEND est particulièrement utile pour les architectes de sécurité qui conçoivent des architectures défensives systématiques.