Indicateur d'attaque

Définition

Un indicateur d'attaque, ou IoA, est un signal comportemental révélant l'intention ou l'exécution d'une action offensive en cours, avant même que celle-ci n'aboutisse à une compromission avérée. Contrairement à l'indicateur de compromission, qui témoigne d'une trace laissée après une intrusion, l'indicateur d'attaque se concentre sur la séquence d'actions caractéristique d'un adversaire, comme une tentative de dumping de la mémoire du processus LSASS pour extraire des identifiants, une élévation de privilèges suspecte, ou une chaîne de commandes PowerShell associée à des techniques de contournement de défenses. Cette approche se réfère directement aux tactiques, techniques et procédures documentées dans le référentiel MITRE ATT&CK, permettant une détection fondée sur le comportement plutôt que sur des artefacts statiques facilement modifiables. Les solutions EDR et XDR modernes s'appuient largement sur les indicateurs d'attaque pour identifier des menaces inconnues ou des variantes de logiciels malveillants n'ayant pas encore de signature connue, offrant ainsi une détection proactive plutôt que réactive. La détection basée sur les indicateurs d'attaque se situe au sommet de la pyramide de la douleur, car elle cible directement la méthodologie opérationnelle de l'attaquant, plus coûteuse à modifier qu'un simple artefact technique. Les équipes de threat hunting exploitent également les indicateurs d'attaque pour formuler des hypothèses de chasse et rechercher proactivement des activités adverses non encore détectées par les outils automatisés.