Heatmap de couverture ATT&CK

Définition

La heatmap de couverture ATT&CK désigne une représentation visuelle, généralement produite avec le MITRE ATT&CK Navigator, superposant sur la matrice complète des tactiques et techniques une échelle de couleurs indiquant le niveau de couverture de détection dont dispose une organisation pour chaque technique individuelle, permettant en un coup d'œil d'identifier les zones bien couvertes par des règles de détection existantes et les angles morts nécessitant un investissement prioritaire. Cette heatmap se construit généralement en croisant l'inventaire des règles de détection réellement actives dans le SIEM ou l'EDR avec la technique ATT&CK qu'elles couvrent effectivement, un exercice de cartographie souvent plus complexe qu'il n'y paraît car une même règle peut couvrir partiellement plusieurs techniques et une même technique peut nécessiter plusieurs règles complémentaires pour une couverture réellement effective plutôt que théorique. Elle sert de support de pilotage stratégique pour orienter les investissements en ingénierie de détection vers les techniques les plus pertinentes pour le profil de menace de l'organisation, plutôt que de disperser l'effort uniformément sur l'ensemble de la matrice sans priorisation. Pour une équipe SOC, la heatmap doit être révisée régulièrement et confrontée aux résultats concrets des exercices d'émulation d'adversaire et des incidents réels rencontrés, afin de distinguer une couverture théorique déclarée d'une couverture effective réellement validée par des tests concrets.