MITRE ATT&CK

Principe de fonctionnement

ATT&CK formalise le comportement adverse post-compromission, là où la kill chain reste macroscopique. Chaque technique porte un identifiant stable (T1055 pour l'injection de processus), les sources de données permettant sa détection, les groupes APT qui l'emploient et les mesures d'atténuation associées. L'export STIX 2.1 rend l'ensemble directement exploitable par machine.

Utilisation en attaque / exploitation

En red team, ATT&CK sert de grammaire d'émulation adverse : on sélectionne un groupe (APT29, FIN7), on extrait son profil de techniques puis on rejoue la séquence complète, de l'accès initial (T1566, phishing) à l'exfiltration (T1041). Le test générique cède la place à un scénario crédible, mesurable et aligné sur la menace réelle du secteur ciblé.

Outils associés

• ATT&CK Navigator : cartographie des couvertures attaque/détection en calques JSON
• CALDERA : émulation adverse automatisée, éditée par le MITRE
• Atomic Red Team : tests atomiques, une commande par technique
• ATT&CK Evaluations : comparatif des solutions EDR
• Sigma et DeTT&CT : règles de détection et scoring de la qualité des logs

Détection et indicateurs

La valeur défensive tient à la « pyramide de la douleur » : détecter une technique coûte bien plus cher à l'attaquant qu'un IOC volatil. La pratique consiste à mapper chaque règle SIEM sur un identifiant ATT&CK, puis à colorer le Navigator pour révéler les angles morts — typiquement Defense Evasion et Credential Access, sous-couvertes faute de télémétrie processus ou d'audit Kerberos.

Contre-mesures

Chaque technique référence des mitigations normalisées (M1047 Audit, M1026 Privileged Account Management). Le SOC les priorise selon la fréquence d'usage observée, puis vérifie leur efficacité par un exercice purple team. Attention au biais de couverture : un calque vert à 90 % mesure l'existence de règles, jamais leur robustesse face à une variante de sous-technique.