Renseignement sur les cybermenaces et chasse aux menaces

Une connexion relevée dans un journal ne devient un renseignement utile qu’une fois son importance pour une décision expliquée. Une donnée est une observation brute, une information y ajoute du sens et le renseignement y ajoute l’analyse et la pertinence.

Pars de la décision

« 203.0.113.45 s’est connecté sur le port 443 » est une donnée. « Cette adresse hébergeait une page d’hameçonnage la semaine dernière » est une information. « Un groupe qui cible notre secteur l’utilise pour la commande et le contrôle ; recherche les connexions antérieures et envisage de la bloquer » est du renseignement. Cette dernière affirmation relie des éléments probants à une menace, un environnement et une action.

Un besoin en renseignement est une question liée à une décision et associée à un responsable. Un besoin prioritaire en renseignement désigne ce à quoi la direction a le plus besoin d’obtenir une réponse. « Quels groupes de rançongiciel ciblent les hôpitaux de notre région et comment entrent-ils ? » peut guider une décision de financement. « Collecter davantage de données sur les rançongiciels » ne donne pas à l’analyste de point d’arrêt clair.

Suis le cycle du renseignement

1. Planification et orientation : convenir des besoins, des destinataires et des délais.
2. Collecte : recueillir les rapports et les documents internes nécessaires pour y répondre.
3. Traitement : traduire, normaliser, dédupliquer et structurer les données.
4. Analyse : relier les observations, évaluer les explications et indiquer le niveau de confiance.
5. Diffusion : transmettre un produit utilisable à la personne qui doit agir.
6. Retour d’information : demander si le produit a répondu à la question et ce qui doit changer.

Certains schémas du cycle regroupent le traitement avec une autre étape et présentent cinq phases. Le travail va toujours d’une question aux éléments probants et à l’analyse, puis à la diffusion et au retour d’information. Acheter un flux fournit des données pour la collecte ; les autres tâches restent à la charge de l’organisation.

Examine une question de financement

La responsable de la sécurité d’un hôpital doit décider s’il faut financer l’authentification multifacteur (MFA) pour l’accès à distance ce trimestre. L’analyste recueille un avis d’une agence nationale, deux rapports du secteur de la santé et les journaux du réseau privé virtuel (VPN) de l’hôpital. Le traitement consiste à extraire les techniques indiquées et à mettre les heures des journaux dans un même format.

L’analyse révèle que trois des quatre groupes décrits sont entrés à l’aide d’identifiants VPN volés. Les journaux montrent 1 200 échecs de connexion VPN depuis des pays inhabituels en 30 jours. Les rapports étayent le risque d’accès ; les échecs montrent des tentatives d’accès, pas des connexions réussies. Une note d’une page recommande de mettre d’abord en place la MFA sur le VPN, tandis que le centre opérationnel de sécurité (SOC) reçoit les indicateurs. La responsable demande les coûts dans la prochaine note : ce retour d’information façonne le besoin suivant.

Sépare les observations des jugements

« Le fichier a contacté ce serveur » est une observation. « L’acteur prépare un rançongiciel » est une appréciation qui nécessite des éléments probants et un niveau de confiance. Formule-les séparément afin que le lecteur puisse remettre le raisonnement en question sans perdre les faits.

Le biais de confirmation favorise les éléments qui correspondent à une première théorie. Le biais d’ancrage maintient la première estimation malgré de nouveaux éléments. Le biais de projection suppose que l’adversaire pense comme l’analyste. Utilise l’analyse des hypothèses concurrentes : énumère les explications plausibles, consigne les hypothèses et recherche les éléments qui vont à l’encontre de chacune. Un collègue peut ensuite examiner la manière dont le jugement a été établi.

Un même rapport sur les menaces peut éclairer plusieurs décisions. Un dirigeant doit comprendre l’exposition de l’organisation, tandis qu’un ingénieur de détection a besoin de connaître le comportement qu’une règle doit reconnaître. Les types de renseignement décrivent ces différents usages.

Compare les quatre types

Un système de gestion des informations et des événements de sécurité (SIEM) recherche et met en corrélation les données de sécurité. Les outils de détection et réponse sur les terminaux (EDR) recueillent les données d’activité des terminaux et permettent d’agir sur ceux-ci. Après validation, le renseignement technique peut alimenter directement ces outils.

Les détails techniques restent souvent valables de quelques heures à quelques semaines, car les attaquants peuvent les remplacer à faible coût. Un jugement stratégique peut guider les décisions pendant plusieurs mois ou années. Ce sont des attentes utiles sur la durée de vie, pas des règles d’expiration applicables à chaque élément. L’empreinte d’un fichier reconnu comme malveillant identifie toujours le même fichier après la fin d’une campagne.

Transforme un rapport en quatre produits

Supposons qu’un rapport décrive des attaques par rançongiciel contre des entreprises manufacturières. Le conseil d’administration reçoit un paragraphe stratégique sur les interruptions de production et l’investissement nécessaire pour réduire ce risque. Il doit pouvoir prendre une décision sans interpréter des lignes de commande.

Le responsable de la sécurité reçoit une note opérationnelle : un affilié exploite ce mois-ci une faiblesse VPN particulière dans la région. La note indique les cibles probables de la campagne en cours et son urgence.

Les ingénieurs de détection reçoivent les détails tactiques : le groupe désactive les sauvegardes et utilise PowerShell pour l’exécution à distance. Ces comportements indiquent les journaux, mesures de sécurité et logiques de détection à examiner. Le SIEM et le pare-feu reçoivent l’annexe technique : trois empreintes SHA-256, deux domaines et une adresse IP, avec leur contexte et les informations nécessaires à leur traitement.

Les produits reposent sur les mêmes éléments, mais répondent à des questions différentes. Envoyer toute l’annexe brute au conseil d’administration revient à transférer le travail de l’analyste à un destinataire qui ne peut pas l’utiliser. Ne donner qu’une tendance à long terme à un analyste laisse sans réponse sa tâche immédiate de détection.

Rends le rapport facile à exploiter

Commence un rapport interne par les principaux jugements. Présente ensuite les éléments à l’appui, le niveau de confiance, les actions recommandées et, si elle est utile, une annexe d’indicateurs. Précise qui doit agir et quand : une campagne qui se termine demain nécessite un délai différent d’une décision budgétaire pour le trimestre prochain. Ajoute un marquage de partage comme TLP:AMBER, issu du Traffic Light Protocol, pour indiquer aux lecteurs jusqu’où le rapport peut circuler.

Certaines organisations utilisent trois niveaux de renseignement et incluent les indicateurs techniques dans le renseignement tactique. Examine le public et le contenu avant de classer le produit. Un changement de nom ne modifie pas les besoins d’un dirigeant ou d’un outil de détection.

Un profil de menace utile explique quels acteurs comptent pour l’organisation et pourquoi. Commence par leur intention, ce qu’ils veulent ; leur capacité, les ressources et compétences qu’ils peuvent utiliser ; et leur opportunité, l’accès ou la faiblesse dont ils peuvent profiter.

Compare les motivations et les accès des acteurs

Une menace persistante avancée (APT) dispose de compétences et de ressources importantes, maintient son accès et revient après avoir été évincée. Le terme décrit un comportement durable et organisé. Le soutien d’un État est courant, mais des groupes criminels compétents peuvent aussi opérer à ce niveau. Appuie-toi sur le comportement et l’accès de l’acteur comme éléments probants, pas sur le prestige de son nom.

Les opérations criminelles répartissent souvent le travail. Les courtiers en accès initial vendent des accès à des réseaux compromis. Dans le rançongiciel à la demande, les développeurs fournissent des rançongiciels à des affiliés qui mènent les attaques et partagent les revenus. Se défendre contre la méthode d’entrée d’un affilié peut donc compter davantage que reconnaître une seule marque de logiciel malveillant.

Regarde au-delà du périmètre

Un acteur interne dispose déjà d’un accès : un pare-feu à la frontière du réseau ne peut donc pas couvrir tout le risque. Le principe du moindre privilège limite ce que cet accès permet d’atteindre. La prévention des pertes de données et l’analyse du comportement des utilisateurs peuvent aider à identifier les usages abusifs et les erreurs, en tenant compte de l’activité normale de la personne.

Une menace sur la chaîne d’approvisionnement utilise un tiers de confiance pour atteindre ses clients : une mise à jour, un prestataire de services gérés ou une bibliothèque. Lors de la compromission de SolarWinds Orion en 2020, les attaquants ont inséré une porte dérobée dans des mises à jour logicielles signées. SolarWinds a d’abord indiqué que moins de 18 000 clients avaient pu installer les produits concernés. L’installation d’un produit concerné et la confirmation d’une exploitation ultérieure sont deux affirmations distinctes.

Pars de l’activité de l’organisation

Un commerçant en ligne de 80 salariés dépend de sa boutique publique et traite des données clients. Les criminels motivés par l’argent comptent, car le vol de paiements et les interruptions menacent les revenus. Les attaquants opportunistes comptent, car la boutique est exposée sur Internet. Les acteurs internes non intentionnels comptent, car le personnel peut exposer des dossiers clients. Un groupe étatique axé sur la recherche en matière de défense est peu pertinent pour le profil actuel de ce commerçant.

Consigne la motivation, les méthodes observées et l’opportunité de chaque acteur pertinent. Utilise ce profil pour sélectionner des rapports, des comportements ATT&CK et des sujets de chasse. Réexamine-le lorsque l’entreprise modifie ses services ou ses technologies.

L’attribution relie une activité à un acteur. Les logiciels malveillants partagés, les hébergements loués et les fausses pistes délibérées rendent ce jugement difficile. Les fournisseurs utilisent aussi des noms différents : MITRE ATT&CK suit APT28 (G0007), également appelé Fancy Bear et Forest Blizzard. Indique les éléments probants et le niveau de confiance qui sous-tendent l’attribution ; le travail de détection peut se poursuivre tant que l’acteur reste inconnu.

Une source peut être bien connue tout en étant sans pertinence pour la décision. Une autre peut être très pertinente, mais trop peu étayée pour justifier un blocage. Évalue séparément l’accès, l’utilité et les éléments probants.

Trouve les bonnes sources

Le renseignement d’origine sources ouvertes (OSINT) provient de documents accessibles au public : avis gouvernementaux, rapports de recherche, code public, fiches de vulnérabilité et publications de chercheurs. C’est l’accès public qui le définit ; un rapport vendu publiquement peut tout de même être une source ouverte. Un CERT ou un CSIRT coordonne les incidents et publie souvent des avis.

Les sources fermées limitent leurs destinataires. Elles comprennent les groupes de partage réservés aux membres, les rapports privés de fournisseurs et les flux sous licence dont la redistribution est limitée. Les données internes du SIEM, de l’EDR et du support, ainsi que les dossiers d’incident, sont aussi des sources à accès restreint et décrivent directement l’activité de l’organisation. Une plateforme de renseignement sur les cybermenaces comme MISP, OpenCTI ou Open Threat Exchange peut dédupliquer, enrichir, relier et diffuser le renseignement. Elle nécessite tout de même des besoins définis et le jugement d’un analyste.

Le Web profond désigne les contenus non indexés, y compris les portails privés ordinaires. Le Web clandestin nécessite des réseaux spéciaux comme Tor. Une surveillance spécialisée peut repérer des identifiants divulgués ou des mentions de victimes. Organise cette collecte avec des prestataires approuvés et un accompagnement juridique ; n’achète pas de données volées et ne traite pas avec des criminels.

Évalue l’utilité et les éléments à l’appui

Les objectifs d’examen appellent ces facteurs « niveaux de confiance ». Ils aident à décider si un élément peut servir de base à une action. Le niveau de confiance dans l’analyse décrit séparément la solidité des éléments et du raisonnement qui sous-tendent un jugement. La pertinence mesure l’utilité ; elle ne rend pas une affirmation plus vraie.

Un rapport publié le matin sur un logiciel malveillant visant le progiciel de gestion intégré de l’organisation, corroboré par un second fournisseur, est récent et pertinent. Une affirmation sur un code d’exploitation de pare-feu concernant un produit que l’organisation ne possède pas est sans pertinence pour les mesures immédiates. Une liste d’adresses IP de 2023 sans explication doit être validée avant d’être utilisée comme liste de blocage.

Distingue deux types de notation

Le système de cotation de l’Amirauté note la fiabilité de la source de A à E, avec F lorsque la fiabilité est inconnue, et la crédibilité de l’information de 1 à 5, avec 6 lorsque la crédibilité est inconnue. A signifie entièrement fiable ; E signifie non fiable. Une information notée 1 est confirmée par d’autres sources ; 5 signifie improbable. B2 désigne une source habituellement fiable qui transmet une information probablement vraie. Une source fiable peut répéter une fausse affirmation : les deux notes restent donc distinctes.

La probabilité concerne la possibilité qu’un événement se produise. Le niveau de confiance concerne les éléments qui étayent cette estimation. L’échelle d’estimation de la directive de la communauté du renseignement américaine (ICD) 203 utilise « improbable » pour 20 à 45 %, « probable » pour 55 à 80 % et « très probable » pour 80 à 95 %. « Le portail de paiement sera probablement ciblé. Notre niveau de confiance dans ce jugement est modéré » exprime les deux jugements séparément. Consigne l’échelle utilisée ainsi que les éléments indépendants, hypothèses et lacunes qui fondent le niveau de confiance.

Un indicateur de compromission (IoC) est un artefact observable qui laisse penser, avec un certain niveau de confiance, qu’une attaque a lieu ou a eu lieu. Sa valeur dépend de son rôle, des éléments qui l’étayent et de son ancienneté, ainsi que de la valeur elle-même. Un indicateur d’attaque (IoA) met l’accent sur le comportement d’une attaque en cours, comme un processus qui lit la mémoire d’un magasin d’identifiants.

Reconnais les types d’indicateurs

D’autres artefacts utiles comprennent les URL, les objets de courriels, les chemins de fichiers, les clés de registre, les noms de mutex et les chaînes d’agent utilisateur. Une empreinte de fichier identifie un contenu exact. Les empreintes SHA-256 de « invoice_4471 » et « invoice_4472 » commencent par 207b0dad et 60072dc4 ; modifier un caractère change le résultat. SHA-256 est privilégié pour l’identification, car des collisions pratiques ont été démontrées pour MD5 et SHA-1.

Recueille, analyse et exploite

La collecte rassemble les artefacts provenant d’incidents, de bacs à sable, de flux et de partenaires. Conserve le lieu et le moment où chacun a été observé. Pendant l’analyse, valide le format et enrichis la valeur : utilise les données d’enregistrement des domaines, l’historique DNS passif, la réputation, la géolocalisation, les scanneurs multiréacteurs et les résultats des bacs à sable. WHOIS peut fournir des informations d’enregistrement ; le DNS passif fournit les résolutions observées auparavant. Consigne si la ressource diffusait une page d’hameçonnage, hébergeait une charge utile ou servait à la commande et au contrôle.

L’exploitation met en pratique le renseignement validé. Un filtre DNS peut bloquer un domaine ; l’EDR peut bloquer l’empreinte d’un fichier reconnu comme malveillant ; une liste de surveillance SIEM peut faire ressortir des correspondances. Recherche aussi dans l’historique, car un nouveau rapport peut expliquer une activité déjà survenue.

Examine un courriel signalé

Un utilisateur signale un courriel ayant pour objet « Facture 4471 impayée » et contenant invoice_4471.zip. Consigne l’expéditeur, l’objet et l’empreinte de la pièce jointe. L’analyse en bac à sable révèle un script qui contacte hxxps://update-portal[.]example/load. L’enrichissement montre que le domaine a été enregistré trois jours auparavant et se résout en 203.0.113.45, également utilisée par deux domaines ressemblants.

L’analyste bloque le domaine au niveau du résolveur DNS, ajoute l’empreinte à l’EDR et examine 30 jours de journaux du proxy. Quatre postes de travail ont contacté le domaine. Ces hôtes deviennent des pistes d’investigation ; l’examen du contexte des connexions permet d’établir ce qui s’est produit sur chacun. Le blocage arrête les correspondances futures par cette mesure, mais les activités passées restent à examiner.

Gère la présentation et l’ancienneté

Les rapports neutralisent les valeurs pour empêcher leur ouverture accidentelle : https devient hxxps et les points deviennent [.]. Rétablis la forme fonctionnelle, ou réactive l’indicateur, avant de le charger dans un outil qui attend une adresse ordinaire.

Fixe des dates de réexamen ou d’expiration selon le type et les éléments disponibles. Une adresse IP peut être réexaminée après 30 jours ; les domaines et les empreintes de fichiers peuvent rester utiles plus longtemps. L’hébergement partagé et les réseaux de diffusion de contenu exigent de la prudence, car bloquer une adresse IP peut affecter de nombreux services légitimes. Une correspondance nécessite du contexte, et une recherche sans résultat signifie seulement que les valeurs recherchées n’ont pas été trouvées dans les données disponibles.

Les tactiques, techniques et procédures (TTP) décrivent le comportement selon trois niveaux. Une tactique est l’objectif, une technique la méthode générale et une procédure la mise en œuvre propre à l’acteur. Cette distinction explique pourquoi certaines détections résistent aux changements de logiciels malveillants et de serveurs.

Distingue l’objectif, la méthode et la mise en œuvre

Pour la persistance, la tactique consiste à conserver un accès. Tâche planifiée ou autre tâche : tâche planifiée (T1053.005) est une technique qui peut permettre d’y parvenir. Une procédure comprend le nom exact de la tâche, le chemin du fichier, la commande et le déclencheur.

Dans une procédure observée, un acteur disposant des droits d’administrateur crée une tâche appelée « OneDriveSync ». Elle exécute C:\Users\Public\sync.exe à chaque ouverture de session sous le compte SYSTEM. Le nom de la tâche peut changer alors que la technique de la tâche planifiée reste la même. Le chemin et le nom de la tâche décrivent les éléments à examiner ; le déclenchement récurrent explique l’objectif de persistance.

Lis la pyramide de la douleur

La pyramide de la douleur de David Bianco, publiée en 2013, classe les éléments que l’adversaire doit changer après leur détection et leur blocage par un défenseur. Du coût le plus faible au plus élevé :

1. Valeurs d’empreinte : triviales ; reconstruire ou recompacter le fichier.
2. Adresses IP : faciles ; obtenir une autre adresse de serveur.
3. Noms de domaine : simples ; enregistrer et configurer un autre nom.
4. Artefacts réseau et hôte : gênants ; modifier des chemins, noms ou détails de protocole distinctifs.
5. Outils : difficiles à remplacer ; remplacer et tester des capacités fonctionnelles.
6. TTP : très difficiles à changer ; apprendre et mettre en œuvre une autre façon d’opérer.

La pyramide mesure le coût d’adaptation de l’adversaire. Elle ne classe pas la gravité d’une intrusion et ne demande pas au défenseur d’écarter tous les indicateurs des niveaux inférieurs.

Compare les détections lorsque la campagne change

Une intrusion produit l’empreinte d’un chargeur, l’adresse de commande et de contrôle (C2) 198.51.100.77 et le domaine update-portal.example. Elle laisse aussi la tâche « OneDriveSync », utilise un outil d’extraction d’identifiants et lance, depuis une application Office, un interpréteur de script connecté à Internet.

Si l’acteur reconstruit le chargeur et change à la fois l’adresse du serveur et le domaine, les trois détections fondées sur des valeurs exactes ne trouvent plus de correspondance. Une détection fondée sur le nom de la tâche fonctionne jusqu’au changement de ce nom. Une détection centrée sur l’outil peut résister jusqu’au changement de cet outil. Une règle qui détecte le comportement allant d’Office au script puis au réseau peut résister à tous ces remplacements, car elle surveille la méthode.

Fournis les données nécessaires au comportement

Une règle comportementale déclenche une alerte lorsque winword.exe ou excel.exe lance powershell.exe, wscript.exe ou mshta.exe, et que le processus enfant établit une connexion sortante dans les 60 secondes. Elle nécessite la filiation des processus, des horodatages et des événements réseau liés au processus. Une simple liste de domaines ne peut pas l’alimenter.

Les détections comportementales nécessitent des réglages, car les logiciels légitimes et les administrateurs utilisent aussi des scripts et des tâches planifiées. Examine les usages normaux avant de choisir des exclusions. Exclure largement tous les administrateurs supprimerait une visibilité utile sur les comptes à privilèges compromis.

L’empreinte d’un fichier reconnu comme malveillant donne une correspondance précise pour ce fichier et se déploie rapidement. Les valeurs d’infrastructure nécessitent de vérifier si elles sont partagées et depuis quand elles sont connues. Combine le blocage rapide par indicateurs et les recherches rétrospectives avec des détections comportementales testées pour obtenir une couverture plus durable.

MITRE ATT&CK est une base de connaissances commune construite à partir d’intrusions observées. MITRE l’a lancée en 2013 et rendue publique en 2015. Elle fournit à l’analyste un vocabulaire pour décrire les comportements et des éléments montrant comment ils se sont manifestés.

Choisis le domaine et la version

ATT&CK comporte les domaines Enterprise, Mobile et ICS (systèmes de contrôle industriel). Enterprise couvre des systèmes comme Windows, macOS, Linux, les services cloud, les fournisseurs d’identité, les équipements réseau, les conteneurs et ESXi. Mobile couvre Android et iOS ; ICS couvre les systèmes de contrôle industriel.

Enterprise v20, publiée en octobre 2026, comporte 15 colonnes de tactiques : reconnaissance, développement des ressources, accès initial, exécution, persistance, élévation de privilèges, furtivité, altération des défenses, accès aux identifiants, découverte, déplacement latéral, collecte, commande et contrôle, exfiltration et impact.

Une tactique explique l’objectif d’un adversaire. Ces colonnes ne constituent pas une chronologie obligatoire : un intrus peut répéter la découverte après être passé à un autre système, sauter une tactique ou poursuivre plusieurs objectifs en une seule action.

Dans la v19, publiée en avril 2026, l’ancienne tactique Enterprise de contournement des défenses a été divisée en furtivité (TA0005) et altération des défenses (TA0112). La furtivité dissimule l’activité ; l’altération des défenses endommage ou désactive les moyens de visibilité et les mesures de sécurité. Les anciennes couches Enterprise à 14 colonnes doivent donc être interprétées en tenant compte de leur version. Les noms des tactiques peuvent différer dans les autres domaines.

Lis les identifiants

Le suffixe après le point dans l’identifiant d’une sous-technique apporte de la précision. LSASS est le service Windows Local Security Authority Subsystem Service. La lecture de sa mémoire justifie T1003.001 ; un rapport qui mentionne seulement « extraction d’identifiants » justifie la technique plus générale T1003. Une technique peut servir plusieurs tactiques : Tâche planifiée (T1053.005) peut contribuer à l’exécution, à la persistance ou à l’élévation de privilèges.

Transforme une page en plan de défense

Lis d’abord la description et les plateformes prises en charge. Les exemples de procédure montrent comment des groupes ou logiciels nommés ont appliqué la technique, avec des références. Les mesures d’atténuation proposent des mesures de sécurité. Depuis la v18 d’octobre 2025, les stratégies de détection renvoient à des analyses propres à chaque plateforme et aux composants de données nécessaires, comme les événements de création de processus ou de connexion réseau.

Cela permet à un ingénieur de vérifier si les journaux nécessaires existent avant de créer une règle. Une page de groupe énumère aussi les techniques observées, ce qui permet de construire une couche de menace pour les acteurs pertinents.

Consigne la version d’ATT&CK dans les mises en correspondance, les rapports et les cartes de chaleur. Les versions paraissent généralement en avril et en octobre. Les techniques peuvent changer ou être révoquées : la v19 a révoqué Altérer les défenses (T1562), dont le contenu a été réparti dans des techniques comme Désactiver ou modifier les outils (T1685). Un ancien identifiant doit être réexaminé, même si le comportement décrit reste pertinent.

Une mise en correspondance ATT&CK relie un comportement à une technique nommée à partir d’éléments probants. Un nom de fichier, une appellation donnée par un fournisseur ou une famille de logiciels malveillants peut guider la recherche, mais la mise en correspondance décrit ce qui s’est passé. Commence par décrire l’action en langage clair.

Suis les éléments en cinq étapes

1. Repère le comportement. Extrais l’action, son objet et son résultat de l’enregistrement.
2. Étudie-le. Comprends ce que fait l’action et ce que les éléments disponibles permettent d’établir.
3. Identifie la tactique. Demande-toi quel objectif l’action sert ici.
4. Identifie la technique. Trouve la méthode générale qui convient.
5. Identifie la sous-technique. Utilise-la lorsque les éléments justifient ce niveau de détail.

Compare ton projet avec l’interprétation d’un autre analyste. Conserve l’extrait du journal ou du rapport qui étaye chaque ligne afin qu’une autre personne puisse examiner la mise en correspondance.

Examine une intrusion

Une observation peut justifier plusieurs mises en correspondance, car méthode et objectif se recoupent. Indique clairement les éléments qui étayent chaque affirmation. Trouver Mimikatz identifie un logiciel (S0002) ; cela n’établit pas que la mémoire LSASS a été lue, sauf si des éléments d’exécution attestent cette action.

Choisis le niveau de détail

Si un rapport indique seulement « hameçonnage », associe Hameçonnage (T1566). La pièce jointe et le lien sont des sous-techniques distinctes et le rapport ne permet pas de choisir entre les deux. Consigne une lacune lorsque les éléments manquent. Un identifiant plus précis n’est utile que s’il est justifié.

Un même mécanisme de tâche peut servir différents objectifs. Une tâche qui lance un programme une fois justifie la tactique d’exécution. Une tâche configurée pour chaque ouverture de session justifie la tactique de persistance. Consigne plusieurs tactiques lorsque les éléments étayent plusieurs objectifs.

Évite la mise en correspondance par mots-clés. Une phrase sur des « identifiants » peut décrire l’utilisation d’un compte volé, et non le vol d’identifiants. Un identifiant Common Vulnerabilities and Exposures (CVE) désigne une vulnérabilité ; l’exploitation d’une faille dans un serveur accessible au public correspond à Exploitation d’une application accessible au public (T1190). Traite la faille et le comportement dans des champs distincts.

Rends le résultat vérifiable

Utilise un tableau indiquant le comportement, les éléments probants, la tactique, la technique ou sous-technique, la version d’ATT&CK et le niveau de confiance. Ce résultat peut alimenter un rapport d’incident, une couche Navigator ou un plan de chasse. Signale clairement les mises en correspondance incertaines afin qu’un lecteur ultérieur ne confonde pas une déduction de l’analyste avec une action consignée.

Une carte de chaleur ATT&CK rend visible une question : quels comportements pertinents l’organisation peut-elle détecter et où se trouvent ses lacunes ? Pars des menaces qui comptent pour l’organisation, puis compare-les à la couverture défensive démontrée.

Construis deux couches distinctes

ATT&CK Navigator annote la matrice dans des couches enregistrées au format JSON. Une couche de menace note les techniques utilisées par les acteurs du profil de menace. Une couche de couverture consigne les détections ou les mesures de sécurité de l’organisation. Donne à chaque couche un nom, une version d’ATT&CK et une légende afin qu’une cellule sombre ait un sens clair.

Pour obtenir un score de menace simple, compte combien de groupes pertinents ont utilisé chaque technique. Un score de quatre signifie quatre groupes dans ce profil, pas quatre attaques ni une probabilité de compromission quatre fois supérieure. La couverture peut être indiquée comme absente, partielle ou testée. Précise dans la légende si elle décrit l’existence d’une règle, des résultats de tests ou une prévention.

Examine dix techniques pertinentes

Quatre groupes pertinents produisent cette couche de menace :

Quatre des dix techniques disposent de détections testées : 40 % de cette couche de menace. Le dénominateur est constitué des dix techniques sélectionnées. Il ne s’agit pas de 40 % de tout ATT&CK, de toutes les procédures ou de toutes les attaques possibles.

Parmi les techniques non couvertes, PowerShell a le score le plus élevé. La tâche planifiée et RDP suivent. L’équipe prévoit d’abord la journalisation des blocs de script PowerShell et une règle pour les commandes PowerShell encodées. Une lacune au score inférieur peut tout de même être urgente lorsqu’elle affecte un actif critique ; indique ce contexte métier à côté du score.

Comble la lacune, des données au test

Lis la stratégie de détection et les analyses de la technique pour identifier les journaux nécessaires. Une règle proposée pour les commandes encodées ne peut pas fonctionner si le contenu des commandes manque. Active la collecte, vérifie que les enregistrements arrivent avec des champs exploitables et que leur durée de conservation convient, puis crée et règle la règle.

Teste-la avec des simulations autorisées et sûres et vérifie si l’alerte attendue se déclenche. Le test établit la couverture pour la procédure et les conditions exercées. Une technique peut contenir de nombreuses procédures : consigne donc celle qui a été testée et ce qui reste partiellement couvert.

Les mesures d’atténuation agissent sur différentes parties d’un même comportement. Pour Mémoire LSASS (T1003.001), la protection LSA ou Credential Guard et une restriction accrue des privilèges de débogage peuvent réduire l’exposition en complément de la détection. Une cellule colorée doit indiquer le type de couverture qu’elle représente.

Garde la carte utile dans le temps

Compare les couches d’un trimestre à l’autre pour montrer les améliorations réalisées et les risques encore présents. Réexamine le profil de menace et le périmètre des plateformes avant d’étendre la couverture : une organisation qui utilise uniquement Windows gagne peu à remplir des cellules macOS sans rapport avec son environnement. Les cellules associant une menace élevée et une faible couverture fournissent aussi des sujets de chasse pendant les travaux d’ingénierie.

La Cyber Kill Chain décrit une intrusion en sept phases. Les analystes de Lockheed Martin Eric Hutchins, Michael Cloppert et Rohan Amin l’ont présentée en 2011 pour relier la connaissance de l’opération d’un adversaire à une action défensive.

Suis les sept phases

1. Reconnaissance : rechercher des informations sur les personnes et les systèmes exposés.
2. Arsenalisation : préparer un code malveillant ou un code d’exploitation avec un support de livraison.
3. Livraison : l’envoyer par courriel, par le Web, sur une clé USB ou par un autre moyen.
4. Exploitation : déclencher le code par une vulnérabilité ou une action de l’utilisateur.
5. Installation : installer un logiciel malveillant ou un autre mécanisme qui maintient l’accès.
6. Commande et contrôle (C2) : établir un canal pour piloter le système compromis.
7. Actions sur les objectifs : poursuivre le but recherché, comme le vol, le chiffrement ou la poursuite des déplacements.

L’arsenalisation se déroule du côté de l’attaquant. Les défenseurs n’en observent généralement qu’une petite partie directement. Les autres phases peuvent laisser des traces dans les données de messagerie, des terminaux, du réseau ou des identités.

Examine une intrusion complète

Un attaquant étudie les offres d’emploi et les profils du personnel pour trouver des salariés du service financier : c’est la reconnaissance. Il crée un tableur contenant une macro malveillante : c’est l’arsenalisation. Son envoi sous la forme d’une facture fournisseur constitue la livraison. Un utilisateur active le contenu et la macro s’exécute : c’est l’exploitation.

Une porte dérobée qui démarre à l’ouverture de session assure l’installation. Ses communications HTTPS toutes les cinq minutes assurent la commande et le contrôle. La copie de dossiers clients vers un serveur externe constitue une action sur les objectifs. Chaque appellation décrit une activité étayée par les éléments disponibles ; si la collecte s’arrête avant qu’une phase soit observée, consigne l’absence de preuve.

L’idée défensive de la chaîne est d’interrompre l’opération avant qu’elle n’atteigne son objectif. Un blocage réussi à la livraison peut empêcher les phases suivantes de cette tentative. Il coûte généralement moins cher qu’une intervention après un vol de données, et la tentative avortée fournit tout de même du renseignement sur la suivante.

Choisis un mode d’action

Le modèle de 2011 associe les phases à six actions : détecter, empêcher, perturber, dégrader, tromper et détruire. « Détecter » consiste à identifier une action. « Empêcher » consiste à faire obstacle à sa réalisation. « Perturber » consiste à en interrompre le fonctionnement. « Dégrader » consiste à en réduire l’efficacité. « Tromper » consiste à donner à l’adversaire des informations ou des réponses qui l’induisent en erreur.

« Détruire » désigne une action offensive contre les ressources de l’adversaire. L’analyse défensive n’autorise pas l’accès à ces ressources. Limite les actions aux pouvoirs de l’organisation et au processus de réponse approuvé.

Reconnais les limites du modèle

La chaîne d’origine convient mieux aux logiciels malveillants livrés depuis l’extérieur qu’aux intrusions internes ou réalisées avec un compte cloud volé. Elle place une grande partie de l’activité après compromission dans les actions sur les objectifs, masquant des distinctions comme l’élévation de privilèges et la collecte. L’Unified Kill Chain de Paul Pols, publiée en 2017, étend cette description à 18 phases.

Les opérations réelles peuvent revenir en arrière : un intrus peut effectuer une nouvelle reconnaissance après être entré. Compare plusieurs intrusions phase par phase pour identifier les méthodes de livraison et les configurations C2 récurrentes, puis associe cette vue de la campagne à des éléments comportementaux plus détaillés. Un blocage précoce est un résultat utile, mais les tentatives liées et les hôtes déjà exposés méritent toujours une investigation.

Le modèle du diamant pour l’analyse des intrusions, publié par Sergio Caltagirone, Andrew Pendergast et Christopher Betz en 2013, décrit un événement d’intrusion. Dans cet événement, un adversaire utilise une capacité au moyen d’une infrastructure contre une victime pour produire un résultat.

Place les éléments au bon sommet

Une adresse IP C2 relève de l’infrastructure. Le code qui utilise cette adresse relève de la capacité. Consigne sous la victime les personnes ou l’organisation ainsi que les systèmes touchés ; « un ordinateur portable » peut masquer la raison pour laquelle cet actif a été choisi.

L’infrastructure de type 1 appartient à l’adversaire ou est entièrement contrôlée par lui, comme un serveur loué. L’infrastructure de type 2 est contrôlée par un intermédiaire, comme un site Web compromis. Cet intermédiaire peut être une autre victime. Les hébergeurs et les bureaux d’enregistrement sont des prestataires de services qui peuvent aider à enquêter sur l’infrastructure ou à la mettre hors service.

Ajoute les circonstances de l’événement

Les métacaractéristiques du modèle décrivent l’horodatage, la phase, le résultat, la direction, la méthodologie et les ressources. L’horodatage indique quand l’événement s’est produit ; la phase situe l’activité dans une opération plus large ; le résultat consigne un succès, un échec ou une issue inconnue. La direction peut montrer une livraison de l’infrastructure vers la victime ou une communication C2 de la victime vers l’infrastructure. La méthodologie nomme la catégorie d’activité, tandis que les ressources décrivent les logiciels, connaissances ou sommes nécessaires.

Le modèle étendu ajoute un axe sociopolitique entre l’adversaire et la victime : la motivation de ce ciblage. Son axe technologique relie la capacité et l’infrastructure : par exemple, la résolution DNS et la communication HTTPS qui permettent à une porte dérobée de joindre son serveur de contrôle.

Suis une relation à la fois

Une alerte EDR sur un ordinateur portable du service financier identifie une porte dérobée qui contacte cdn-sync.example. Pars de l’ordinateur comme victime, de la porte dérobée comme capacité et du domaine comme infrastructure. Laisse l’adversaire inconnu.

Le DNS passif relie le domaine à 203.0.113.45 et montre que update-portal.example utilise cette adresse. Cela fournit une seconde piste d’infrastructure. Un dépôt de logiciels malveillants relie un autre échantillon de porte dérobée à ce second domaine, ajoutant une capacité. Un partenaire signale le domaine dans des incidents touchant deux entreprises de logistique, ajoutant des pistes sur les victimes.

Chaque pivot produit une relation à vérifier. Un hébergement partagé constitue à lui seul un faible indice de contrôle commun : conserve donc les informations temporelles et les éléments de corroboration avant de regrouper des clients sans lien entre eux. Le résultat utile est une chaîne d’éléments probants qui s’élargit, plutôt qu’un nom d’acteur trouvé rapidement.

Relie les événements sans aller au-delà des preuves

Des événements concernant une même victime, ordonnés dans le temps, forment un fil d’activité. Les fils et événements liés forment un groupe d’activité lorsqu’ils partagent des caractéristiques pertinentes comme l’infrastructure, la capacité ou le ciblage. Le groupe correspond approximativement à un adversaire ou à une campagne et reste un regroupement analytique jusqu’à ce que des éléments plus solides étayent une attribution.

Les sommets vides indiquent à l’analyste où les éléments manquent. Laisse-les inconnus et utilise les arêtes connues pour planifier la recherche suivante. Un diamant apparemment complet mais rempli de suppositions est moins utile qu’un diamant incomplet dont les relations peuvent être vérifiées.

Un même incident peut nécessiter un point de situation, un plan de détection et une investigation sur l’infrastructure. La Cyber Kill Chain, ATT&CK et le modèle du diamant organisent les mêmes éléments pour répondre à ces différentes questions.

Choisis d’abord la question

Analyse une intrusion de trois façons

Un courriel d’hameçonnage transmet un tableur à une équipe financière. Un utilisateur active sa macro. La macro installe une porte dérobée, crée une tâche planifiée à l’ouverture de session et contacte cdn-sync.example par HTTPS. Le SOC isole l’ordinateur portable avant d’observer une autre activité.

La description selon la Cyber Kill Chain identifie la livraison, l’exploitation, l’installation et la phase C2. Elle indique qu’aucune action sur les objectifs n’a été observée. L’isolement est une action défensive ; l’absence d’observations ultérieures dépend néanmoins des données qui ont été collectées.

ATT&CK distingue les comportements : Pièce jointe d’hameçonnage ciblé (T1566.001) pour la pièce jointe, Exécution par l’utilisateur : fichier malveillant (T1204.002) pour son activation, Tâche planifiée (T1053.005) pour le lancement récurrent et Protocoles Web (T1071.001) pour la commande et le contrôle par HTTPS. Chaque mise en correspondance renvoie à un fait de l’incident.

L’événement du modèle du diamant consigne un adversaire inconnu, la macro et la porte dérobée comme capacité, l’adresse d’expédition et le domaine contacté comme infrastructure, ainsi que l’équipe financière et l’ordinateur portable touché comme victime. Il suggère de vérifier les autres messages de l’expéditeur et les autres hôtes qui contactent le domaine.

Relie les phases et les comportements avec soin

La reconnaissance correspond étroitement entre ATT&CK et la Cyber Kill Chain. Le développement des ressources recoupe l’arsenalisation. L’accès initial et l’exécution peuvent décrire la livraison et l’exploitation ; la persistance recoupe l’installation ; la commande et le contrôle recoupent la phase C2. Beaucoup d’autres tactiques ATT&CK relèvent des actions sur les objectifs.

La correspondance est approximative. ATT&CK distingue en détail des activités après compromission que la chaîne d’origine regroupe. Forcer une tactique ATT&CK à correspondre exactement à une seule phase de la Cyber Kill Chain peut masquer l’objectif ou la séquence révélés par les éléments disponibles.

Distingue les descriptions d’attaques des plans de test

L’Open Source Security Testing Methodology Manual (OSSTMM) d’ISECOM et l’OWASP Web Security Testing Guide organisent les tests autorisés : planification, réalisation des vérifications et présentation des résultats. Ce sont des méthodologies de test. Les trois cadres d’analyse des attaques décrivent l’activité adverse en vue de son analyse.

Un plan de test peut utiliser un comportement ATT&CK pour choisir une simulation autorisée, puis utiliser ses résultats pour mettre à jour la couverture. Le plan et le vocabulaire des comportements remplissent des rôles différents. Aucun cadre n’établit à lui seul l’identité de l’acteur ; l’attribution nécessite toujours des éléments distincts et un niveau de confiance.

La chasse aux menaces est une recherche proactive, itérative et menée par des humains pour repérer les activités adverses manquées par les détections automatisées. L’analyste envisage qu’une compromission puisse déjà exister, puis en recherche les preuves dans les terminaux, les réseaux, les identités et les services cloud.

Distingue les activités proches

Une alerte antérieure peut fournir une piste de chasse. Une chasse qui découvre un incident le transmet à l’équipe de réponse aux incidents. Ces distinctions décrivent l’objectif du travail ; les équipes peuvent échanger des éléments probants tout au long de celui-ci.

Les attaquants peuvent se fondre dans l’activité normale par le détournement des outils intégrés, comme PowerShell ou Windows Management Instrumentation. Les outils que les administrateurs utilisent quotidiennement nécessitent une analyse en contexte. La durée de présence non détectée est le temps pendant lequel un intrus reste indétecté. Les chasses visent à la réduire ; certaines intrusions restent cachées pendant des mois ou des années.

Adapte le type de chasse au point de départ

Une chasse fondée sur une hypothèse teste une affirmation précise sur un comportement. Une chasse guidée par le renseignement part des indicateurs ou des TTP d’un nouveau rapport et peut effectuer des recherches dans des données plus anciennes. Une chasse fondée sur une référence de fonctionnement établit l’activité normale et examine les écarts. Une chasse assistée par un modèle utilise l’apprentissage automatique pour faire ressortir des motifs inhabituels qu’une personne examine.

Ces types peuvent fonctionner ensemble. Un rapport sur la persistance par tâche planifiée peut mener à une hypothèse, à une comparaison des fréquences avec la référence de fonctionnement et à un regroupement assisté par modèle des actions inhabituelles des tâches. L’analyste interprète toujours les éléments probants.

Choisis des endroits importants où chercher

Les configurations et les erreurs de configuration offrent des pistes : nouveaux comptes administrateur, journaux désactivés, modifications des stratégies de groupe et services nouvellement exposés. Les actifs critiques comme les contrôleurs de domaine, les systèmes de paiement, les serveurs de sauvegarde et le progiciel de gestion intégré méritent une attention particulière, car leur compromission coûte cher.

Les réseaux segmentés ou physiquement isolés peuvent offrir une visibilité plus faible. Dans les environnements industriels, privilégie la collecte passive, car un scan actif peut perturber des équipements fragiles. Choisis une méthode adaptée à l’actif ainsi qu’à la menace.

Vérifie la visibilité avant de promettre une réponse

Une chasse nécessite des données pertinentes sur les terminaux, le réseau, les identités ou le cloud, une durée de conservation suffisante et des outils pour les interroger. La conservation atteint souvent 90 jours ou plus, mais la période nécessaire dépend de la question. Vérifie quels hôtes et champs sont réellement présents et comment l’activité normale sera reconnue.

Le Hunting Maturity Model va de HM0 Initial, qui repose sur les alertes automatisées, à HM4 Avancé, qui automatise les chasses réussies sous forme de détections, en passant par HM1 Minimal, qui recherche des indicateurs, HM2 Procédural, qui utilise des procédures rédigées par d’autres, et HM3 Innovant, qui crée ses propres procédures. La recherche d’indicateurs est utile, mais ne trouve plus de correspondance lorsque l’infrastructure change.

Si aucun élément à l’appui n’est trouvé, indique le comportement testé, le périmètre, les méthodes et les limites de visibilité. Les journaux manquants deviennent un constat de lacune de visibilité. Une valeur atypique bénigne documentée améliore la référence de fonctionnement. Ce sont deux résultats exploitables, même lorsque la chasse ne révèle aucun incident.

Une hypothèse de chasse énonce un comportement adverse précis qui peut être présent dans un environnement défini. Elle donne à l’analyste une direction de recherche et un point d’arrêt. Une accusation comme « une APT est présente ici » ne fournit ni l’un ni l’autre.

Construis les quatre parties

Une hypothèse utile précise le comportement, le périmètre, les éléments observables et la source de données. Le périmètre comprend les systèmes et la période. Essaie : « Si ce comportement se produit sur ces systèmes pendant cette période, ces données devraient contenir ces éléments. »

Les sources d’inspiration comprennent les rapports sur les acteurs pertinents, les lacunes ATT&CK associées à une menace élevée, les incidents passés, les nouveaux services cloud, les fusions, les anomalies quotidiennes et les constats des équipes rouges. Pars de l’une de ces pistes, puis décris le comportement assez précisément pour pouvoir le rechercher.

Délimite une chasse aux tâches planifiées

« Les attaquants utilisent PowerShell » produit trop d’activité légitime. Une hypothèse plus précise est : « Un adversaire a créé au cours des 30 derniers jours sur les postes de travail du service financier des tâches planifiées, Tâche planifiée (T1053.005), qui exécutent des programmes depuis des dossiers accessibles en écriture aux utilisateurs comme C:\Users\Public ou AppData. »

L’élément attendu est un enregistrement de création de tâche montrant cette cible. L’événement 4698 du journal de sécurité Windows consigne la création d’une tâche lorsque l’audit concerné est activé. Vérifie la stratégie et la collecte avant la chasse. Examine l’action de la tâche, son créateur, l’hôte et l’heure, puis étudie les correspondances quel que soit le compte qui les a créées. Les identifiants d’administrateur peuvent aussi être utilisés abusivement.

La condition sur les dossiers restreint volontairement l’hypothèse. Les tâches exécutées depuis des dossiers protégés restent hors du champ de cette recherche ; conserve donc cette limite dans le rapport.

Détermine ce qui irait à son encontre

Avant la recherche, note un résultat qui réfuterait l’hypothèse. Par exemple, chaque tâche correspondante peut être reliée à un logiciel connu, à des enregistrements de déploiement approuvé et à un comportement attendu des processus. Ce constat va à l’encontre de l’hypothèse dans le périmètre défini lorsque les journaux nécessaires sont complets. Des résultats vides provenant d’hôtes qui n’ont jamais envoyé l’événement 4698 laissent la question sans réponse.

Recherche les éléments en faveur d’explications ordinaires aussi activement que ceux en faveur d’explications malveillantes. Consigne les changements apportés à l’hypothèse et au périmètre pendant le travail ; sinon, l’affirmation finale pourrait porter sur une question qui n’a jamais réellement été testée.

Hiérarchise le travail et révèle les lacunes de données

Une méthode simple de classement attribue une note de 1 à 3 à la probabilité, à l’impact et à la disponibilité des données, puis multiplie ces notes. Dans cet exemple :

Avec cette méthode, A arrive en premier. B concerne des actifs importants, mais manque de données exploitables : la première tâche consiste donc à activer la collecte. Le score classe le travail ; ce n’est ni une probabilité ni un substitut au traitement urgent d’un incident.

Une chasse crée de la valeur lorsque ses éléments probants modifient la réponse, la référence de fonctionnement, la collecte ou la détection. PEAK, présenté par l’équipe SURGe de Splunk en 2023, organise le travail en trois phases, préparer, exécuter et agir, les connaissances éclairant chacune d’elles.

Suis le processus

Pendant la phase préparer, étudie le comportement, formule l’hypothèse et définis le périmètre, les données et le plan. Pendant la phase exécuter, recueille et analyse les données, affine les recherches et procède immédiatement à l’escalade des constats critiques. Pendant la phase agir, conserve le travail, communique les constats et mets en œuvre les améliorations. Les connaissances comprennent le contexte métier, le renseignement sur les cybermenaces, l’expérience et les découvertes de cette chasse.

Une recherche précise trouve des valeurs ou des motifs connus. L’analyse de fréquence compte les valeurs et examine les plus rares. Le regroupement et le partitionnement en groupes révèlent les événements liés. L’établissement d’une référence de fonctionnement permet de comparer l’activité au comportement normal au fil du temps. Une chronologie peut ensuite relier les valeurs atypiques à d’autres actions sur l’hôte.

Compte les noms de tâches, puis examine le contexte

Un analyste compte les noms sur 2 000 hôtes Windows :

« SysHealthCheck » est la plus rare et exécute le fichier non signé C:\Users\Public\svc.exe sur trois hôtes du service financier. Ce contexte justifie une investigation. « BackupAgentDaily » est aussi rare dans le parc, mais correspond à un logiciel installé uniquement sur les serveurs. Le regroupement par rôle des hôtes explique sa fréquence.

La rareté détermine l’ordre d’examen ; la classification nécessite davantage d’éléments. Vérifie la filiation des processus, l’utilisateur, la signature du fichier, la réputation de son empreinte, les contacts réseau et l’heure de création. Classe un résultat comme bénin, suspect ou malveillant selon ce que ces vérifications établissent. Documente les valeurs atypiques légitimes dans la référence de fonctionnement.

Examine les intervalles comme autre piste

Un hôte contacte 198.51.100.77 avec des intervalles de 300, 302, 298, 301, 299, 300, 303 et 297 secondes. La moyenne est de 300 secondes et l’écart-type d’environ 1,9 seconde : la dispersion est faible. Les intervalles de navigation d’une personne sont souvent beaucoup moins réguliers.

Un logiciel malveillant peut effectuer du beaconing vers son serveur C2 en ajoutant une gigue aléatoire, de sorte que les intervalles restent proches d’une durée typique sans être identiques. Les services légitimes de mise à jour et de synchronisation horaire contactent aussi régulièrement des destinations. Vérifie le processus à l’origine des connexions, l’historique de la destination et la prévalence sur des hôtes comparables avant de classer une connexion périodique.

Agis en préservant les preuves

Transmets toute activité malveillante à l’équipe de réponse aux incidents selon le processus de l’organisation. Coordonne les actions avec les intervenants ; évite de supprimer le fichier ou de te connecter de manière interactive d’une façon qui modifierait les preuves ou alerterait l’intrus.

Transforme la chasse en règle nouvelle ou réglée, en correction d’une lacune de visibilité, en modification de configuration, en renseignement partagé ou en référence de fonctionnement améliorée. La journalisation des blocs de script PowerShell, par exemple, enregistre l’événement 4104 et peut combler une lacune pour les analyses ultérieures.

Le rapport conserve l’hypothèse, le périmètre, les sources, les requêtes, les constats, les faux positifs et les tâches de suivi attribuées. Mesure les détections créées, les lacunes comblées, les techniques recherchées et le délai jusqu’au résultat, en plus des incidents découverts. Les requêtes et notes enregistrées permettent à l’analyste suivant de répéter ou d’automatiser le travail utile.

La défense active permet d’interagir avec un adversaire, de le ralentir ou de l’étudier par des actions défensives dans l’environnement propre de l’organisation. Le leurrage, le blocage dynamique et l’endiguement rapide peuvent y contribuer. Le leurrage cyber crée des ressources que les utilisateurs légitimes n’ont aucune raison professionnelle de toucher.

Choisis le leurre selon l’objectif

Un pot de miel n’a aucun usage en production. Un jeton leurre peut se trouver dans un environnement par ailleurs réel : un compte administrateur jamais utilisé, une fausse clé cloud, un enregistrement leurre dans une base de données ou un document sentinelle qui signale les accès. Il nécessite un mécanisme d’alerte qui consigne ce qui a été touché et l’origine du contact.

Laisse l’emplacement guider la déduction

Un faux serveur de fichiers près des actifs du service financier peut révéler une découverte interne ou un déplacement latéral. Un pot de miel exposé sur Internet reçoit surtout des scans généralisés et des attaques automatisées. Les deux peuvent recueillir du renseignement utile, mais un scan externe seul prouve peu qu’une entreprise particulière a été choisie comme cible.

La référence de fonctionnement attendue est centrale. Si des utilisateurs réels ouvrent régulièrement un fichier leurre, ses alertes mélangent l’activité ordinaire avec le comportement recherché. Rends les leurres crédibles pour un intrus tout en les maintenant hors des processus légitimes. Tiens compte des scanneurs de sécurité connus lorsque tu examines un contact.

Pars d’un contact pour mener une chasse

Une entreprise place FIN-BACKUP-02 sur le réseau du service financier. Il n’a aucun utilisateur légitime et aucune connexion n’est attendue. À 02 h 14, il reçoit une tentative de connexion SMB provenant d’un poste de travail du service financier.

L’alerte fournit une piste précise : hôte source, destination, service et heure. L’analyste examine l’activité de ce poste autour du contact et découvre un programme inconnu exécuté par une tâche planifiée ainsi que des connexions par bureau à distance utilisant un compte qui devrait être inactif. Les éléments réunis guident l’investigation ; le leurre a rendu un chemin caché plus facile à repérer.

Associe les actions observées à ATT&CK lorsque les éléments le justifient. Distingue le contact lui-même des suppositions sur ce qui l’a précédé ou sur le groupe qui en est à l’origine. Le pot de miel peut devenir une source interne de renseignement, et la chasse peut identifier une règle comportementale qui mérite d’être automatisée.

Maîtrise le risque lié au leurre

Isole les pots de miel, limite leur capacité à atteindre la production et surveille-les de près afin qu’un leurre compromis ne puisse pas devenir un point de lancement. Les systèmes à forte interaction nécessitent particulièrement ces précautions, car ils exécutent de vrais logiciels. Fais examiner les aspects juridiques et de vie privée de la collecte qui enregistre l’activité et les données des visiteurs. Limite l’interaction aux systèmes et actions autorisés.

Engage de MITRE aide à planifier le leurrage et les interactions avec l’adversaire autour d’objectifs définis. Le leurrage complète la surveillance du SOC, les analystes de chasse et l’équipe de réponse. Sa valeur propre tient à une ressource dont l’usage légitime attendu est presque nul, et non à une vue complète de toutes les voies d’intrusion.

Le partage permet à l’incident d’une organisation de devenir une alerte précoce pour une autre. Les échanges utiles comprennent le contexte, le niveau de confiance et les règles de traitement, ainsi que les indicateurs. La publication spéciale 800-150 du NIST recommande de convenir des objectifs, du périmètre et du traitement du partage avant qu’un échange urgent ne commence.

Choisis la communauté et la plateforme

Un centre de partage et d’analyse de l’information (ISAC) sert un secteur comme la finance, la santé ou l’énergie. Une organisation de partage et d’analyse de l’information (ISAO) peut se former autour d’un autre intérêt commun, comme une région. Les CERT et CSIRT nationaux coordonnent les incidents et publient des avertissements. Parmi eux figurent la CISA aux États-Unis, le NCSC au Royaume-Uni et le CERT-EU pour les institutions de l’Union européenne.

Contribue en partageant des constats pertinents autant qu’en utilisant ceux des autres. MISP organise les événements et les marqueurs partagés et peut synchroniser les serveurs des membres. OpenCTI stocke le renseignement lié dans un graphe de connaissances fondé sur STIX. Open Threat Exchange (OTX) regroupe des indicateurs liés en ensembles communautaires appelés « pulses ». La plateforme facilite l’échange ; les règles de la communauté régissent son contenu et ses destinataires.

Distingue le contenu du transport

STIX 2.1 est le langage de renseignement d’OASIS fondé sur JSON. Les objets de domaine décrivent les indicateurs, logiciels malveillants, acteurs malveillants, ensembles d’intrusions, modes opératoires d’attaque, campagnes, vulnérabilités et modes d’action. Les objets de relation relient ces concepts ; une observation consigne qu’un élément a été vu.

Un indicateur STIX comprend un motif et une date de début de validité. Par exemple, [domain-name:value = 'update-portal.example'] exprime une correspondance de domaine. Le motif indique ce qu’il faut rechercher ; l’objet qui le contient fournit le contexte et la validité.

TAXII 2.1 transporte STIX par HTTPS. Un serveur met à disposition des collections que les clients autorisés consultent et auxquelles ils peuvent ajouter des objets lorsque cela est permis. STIX décrit le renseignement ; TAXII le transporte. Le choix d’un format ne donne pas à lui seul l’autorisation de redistribuer un rapport.

Applique le TLP 2.0

Le Traffic Light Protocol (TLP) de FIRST indique les limites de divulgation autorisées :

Le TLP 2.0, publié en 2022, a remplacé TLP:WHITE par TLP:CLEAR. Le TLP est une convention de partage, pas un chiffrement ni un système de classification de sécurité.

Pour un rapport ISAC marqué TLP:AMBER, le destinataire peut informer son SOC et les clients qui ont besoin d’être protégés. Il ne peut pas publier le rapport ni le transmettre à toute la communauté. Une divulgation plus large nécessite l’autorisation de la source.

Prépare le rapport pour le public autorisé

Avant la diffusion, retire les données personnelles inutiles, les noms d’hôtes internes et les détails qui identifient la victime. Vérifie les exigences applicables en matière de protection des données, les contrats, les accords de confidentialité et le consentement. Conserve les indicateurs et les descriptions de comportement utiles sans exposer l’identité de la victime lorsque cela est possible. Expurger un rapport et respecter son marquage TLP sont deux tâches distinctes : retirer un nom d’hôte n’élargit pas l’autorisation de partage initiale.

La défense guidée par le renseignement dirige les efforts vers les adversaires et les comportements qui comptent pour l’organisation. Les mêmes éléments peuvent modifier les priorités de réponse, les correctifs, les estimations de risque pour l’organisation, l’architecture et la détection.

Relie le renseignement à cinq fonctions

Pour l’ingénierie, des identifiants VPN volés suggèrent une authentification multifacteur résistante à l’hameçonnage. L’extraction de la mémoire LSASS suggère Credential Guard et des privilèges d’administration et de débogage limités. Un déplacement fondé sur RDP suggère un accès RDP plus restreint et une segmentation. La mesure de sécurité dépend de la méthode observée et de l’environnement qu’elle peut affecter.

Distingue la gravité de l’exploitation

Le Common Vulnerability Scoring System (CVSS) décrit la gravité technique sur une échelle de 0 à 10. Le catalogue KEV de la CISA identifie les failles pour lesquelles il existe des preuves fiables d’exploitation réelle. L’Exploit Prediction Scoring System (EPSS) de FIRST estime la probabilité, de 0 à 1, d’une exploitation dans les 30 prochains jours. Aucun de ces éléments ne décrit à lui seul l’ensemble du risque que représente l’actif concerné pour l’organisation.

Compare deux constats. A a un score CVSS de 9,8, un score EPSS de 0,03, ne figure pas dans le catalogue KEV et se trouve sur un serveur de test interne. B a un score CVSS de 7,5, un score EPSS de 0,92, figure dans le catalogue KEV et affecte la passerelle VPN critique exposée sur Internet. B passe en premier en raison de la combinaison de l’exploitation actuelle, de l’exposition et de l’importance pour l’organisation. Un classement selon le seul CVSS manquerait ces faits. L’absence du catalogue KEV laisse une incertitude sur l’exploitation ; elle ne prouve pas que le système est sûr.

Utilise STRIDE pour examiner une conception

La modélisation des menaces examine la conception d’un système avant une attaque. STRIDE, de Microsoft, regroupe les menaces selon la propriété de sécurité en danger :

Le renseignement précise quelles menaces sont actuellement utilisées par les adversaires pertinents. Il aide à hiérarchiser l’examen de la conception sans réduire la modélisation des menaces à une liste de noms de logiciels malveillants actuels.

Transforme les décisions en résultats mesurables

Les indicateurs peuvent alimenter les listes de surveillance du SIEM, les listes de blocage de l’EDR et les filtres DNS. Sigma sert couramment à exprimer des règles de détection dans les journaux ; YARA sert à exprimer des règles portant sur des motifs de fichiers. Les règles fondées sur les comportements nécessitent toujours les bonnes données, des tests et des réglages.

Mesure les détections créées, le délai entre la réception et l’application d’un indicateur, les incidents découverts grâce au renseignement et les besoins auxquels une réponse a été apportée. Demande aux destinataires si le produit a modifié une décision. Leurs retours actualisent les besoins, tandis que les constats issus des incidents et des chasses apportent les éléments probants du cycle suivant.