Pyramide de la douleur

Définition

La pyramide de la douleur est un modèle conceptuel élaboré par le chercheur David Bianco pour hiérarchiser les indicateurs de compromission selon le niveau de difficulté qu'ils imposent à un attaquant lorsqu'ils sont détectés et bloqués par le défenseur. Représentée sous forme pyramidale, elle classe du bas vers le haut : les valeurs de hachage, faciles à modifier par l'attaquant et donc peu coûteuses à contourner ; les adresses IP ; les noms de domaine ; les artefacts réseau ou hôte, comme des chaînes de user-agent ou des chemins de fichiers spécifiques ; les outils utilisés par l'attaquant ; et au sommet, les tactiques, techniques et procédures, référencées dans le cadre MITRE ATT&CK, qui représentent le comportement fondamental de l'adversaire. Plus un indicateur se situe haut dans la pyramide, plus il est coûteux et complexe pour l'attaquant de le modifier pour échapper à la détection, car cela implique de changer sa méthodologie opérationnelle plutôt qu'un simple artefact technique. Ce modèle guide les équipes de détection et de threat hunting dans leurs priorités : plutôt que de se concentrer uniquement sur le blocage d'indicateurs de compromission de bas niveau, facilement remplaçables, elles doivent développer des capacités de détection basées sur les comportements et les TTP, plus résilientes dans le temps et plus difficiles à contourner pour l'adversaire, ce qui maximise l'impact opérationnel de l'ingénierie de détection.