Qu’est-ce que MITRE ATT&CK ?

Cyber Toolbox*

Comprendre MITRE ATT&CK et son framework

MITRE ATT&CK est une ressource essentielle dans le domaine de la cybersécurité, offrant une compréhension approfondie des tactiques, techniques et procédures (TTP) utilisées par les cyberattaquants. Dans cet article, nous explorerons en détail ce qu’est MITRE ATT&CK, son framework, ses avantages et ses utilisations pratiques.

MITRE ATT&CK : Une introduction

Qu'est-ce que MITRE et quel est son rôle ?

MITRE, une organisation à but non lucratif basée aux États-Unis, opère à l’intersection de l’ingénierie des systèmes, de la technologie de l’information et de la modernisation des entreprises. Fondée sur le principe de la collaboration et du partage des connaissances, MITRE offre une ressource précieuse dans le domaine de la cybersécurité en soutenant la sécurité informatique défensive dans divers secteurs, y compris les agences gouvernementales. L’une de ses contributions les plus notables est la maintenance de la liste des CVE (Common Vulnerabilities and Exposures), qui répertorie les vulnérabilités informatiques courantes.

Qu'est-ce que le projet ATT&CK ?

Le projet ATT&CK, l’un des piliers de l’initiative MITRE, se concentre sur la cartographie des comportements de cyberattaque. Son objectif est d’offrir une base de connaissances robuste pour aider les analystes en cybersécurité à mieux comprendre les menaces et à renforcer leurs défenses. En fournissant un vocabulaire de référence commun et en s’appuyant sur des scénarios du monde réel, ATT&CK facilite la communication et la collaboration entre les acteurs de la cybersécurité.

Qu'est-ce que MITRE ATT&CK et comment fonctionne-t-il ?

MITRE ATT&CK est un cadre de travail, également connu sous le nom de framework, qui contient une base de connaissances détaillée des tactiques, techniques et procédures (TTP) utilisées par les groupes de menaces avancées (APT). Conçu pour refléter les différentes phases d’une attaque cybernétique, ce framework organise les connaissances en cybersécurité dans une structure hiérarchique. Les tactiques, représentant les objectifs spécifiques des attaquants, occupent le sommet de cette hiérarchie et guident l’identification et la compréhension des différentes étapes d’une campagne cybernétique

Le Framework de MITRE ATT&CK : Une vue d'ensemble

Présentation du framework

Le framework MITRE ATT&CK offre une vision holistique des TTP (Tactiques, Techniques et Procédures) utilisés par les cyberattaquants. Cette base de connaissances, construite à partir d’observations du comportement des adversaires dans le monde réel, est organisée en plusieurs catégories, chacune offrant un niveau de détail différent pour une meilleure compréhension et application :

Tactiques

Cela correspond aux objectifs de haut niveau des attaquants, tels que la reconnaissance, l’accès initial ou l’accès aux identifiants.

Techniques

Elles décrivent les moyens spécifiques utilisés par les attaquants pour atteindre leurs objectifs, comme le phishing ou la force brute.

Sous-techniques

On retrouve ici les variantes spécifiques des techniques, telles que le spear phishing ou le cassage du mot de passe.

Procédures

Ce sont des exemples de procédures utilisés par les groupes d’attaque, par exemple : – APT1 a envoyé des courriels d’hameçonnage ciblé contenant des hyperliens vers des fichiers malveillants. – APT41 a effectué des attaques par force brute sur le compte administrateur local. – FIN6 a extrait des empreintes de mots de passe du fichier ntds.dit pour les cracker hors ligne.

Avantages du Framework

Le framework MITRE ATT&CK présente plusieurs avantages significatifs pour les organisations engagées dans la cybersécurité :

Amélioration de la compréhension des menaces

En identifiant les TTP les plus courants, les organisations peuvent mieux se préparer aux attaques et renforcer leurs défenses.

Développement de défenses plus efficaces

En permettant la mise en place de contrôles de sécurité adaptés aux menaces spécifiques, le framework aide à réduire les risques.

Meilleure collaboration

Le langage commun fourni par ATT&CK facilite la communication et la collaboration entre les équipes de sécurité, renforçant ainsi la posture de défense.

Suivi des tendances

Le framework est régulièrement mis à jour pour refléter l’évolution des techniques d’attaque, permettant aux organisations de rester à jour et proactives.

Les Tactiques de MITRE ATT&CK

Au cœur du framework MITRE ATT&CK se trouvent les tactiques, qui représentent le « pourquoi » d’une technique ou d’une sous-technique. Avec 14 tactiques répertoriées, elles fournissent un aperçu complet des objectifs poursuivis par les attaquants à différentes étapes d’une attaque cybernétique :

Reconnaissance
Développement des ressources
Accès initial
Exécution
Persistance
Élévation des privilèges
Contournement des défenses

Accès aux identifiants
Découverte
Mouvement latéral
Exfiltration
Impact
Destruction
Commande et Contrôle

Les Techniques de MITRE ATT&CK

Les techniques du framework MITRE ATT&CK représentent les méthodes spécifiques utilisées par les acteurs malveillants pour atteindre leurs objectifs lors d’une attaque. Cette liste exhaustive et détaillée des Techniques, Tactiques et Procédures (TTP) connus constitue une ressource inestimable pour les organisations cherchant à renforcer leur posture de cybersécurité. Parmi les exemples de techniques figurent :

Injection de contenu : Injection de code malveillant dans une application web.
Phishing : Envoi d’e-mails frauduleux pour inciter les utilisateurs à divulguer des informations sensibles.
Attaque par déni de service (DoS) sur l’endpoint : Inondation d’un serveur avec du trafic malveillant afin de dégrader ses performances ou le rendre indisponible.
Elevation des privilèges : Exploitation d’une vulnérabilité pour obtenir des privilèges plus élevés sur un système.

Ces techniques sont classées dans différentes catégories telles que :

Balayage actif : Le but est de collecter des données utiles au ciblage. Les scans actifs consistent à sonder directement l’infrastructure de la victime via le trafic réseau, par opposition à d’autres formes de reconnaissance moins directes.
Découverte de comptes : Les attaquants peuvent tenter d’obtenir une liste de comptes valides, de noms d’utilisateur ou d’adresses e-mail sur un système ou au sein d’un environnement compromis.
Force brute : Le bruteforcing des mots de passe peut se faire via une interaction avec un service qui vérifiera la validité de ces informations d’identification ou hors ligne contre des données d’identification précédemment acquises, telles que des empreintes de mots de passe.
Infrastructure compromise : Cela inclut des serveurs physiques ou cloud, des domaines et des services web et DNS tiers, les attaquants préfèrent la compromettre pour l’utiliser à différentes étapes de leur opération.

Vous pouvez consulter le framework complet sur le site officiel de MITRE ATT&CK.

Les Matrices de MITRE ATT&CK

Les matrices MITRE ATT&CK offrent une représentation tabulaire des tactiques et techniques utilisées par les cyberattaquants, permettant aux organisations de mieux comprendre les menaces et d’évaluer leur posture de sécurité. Le cadre complet MITRE ATT&CK est divisé en trois principales variantes (matrices), chacune contenant un sous-ensemble de TTP qui s’applique à des environnements informatiques cibles et spécifiques :

Matrice Enterprise : Focus sur le comportement adversaire dans les environnements Windows, Mac, Linux et Cloud.
Matrice Mobile : Focus sur le comportement adversaire dans les systèmes iOS et Android.
Matrice ICS (Système de Contrôle Industriel) : Focus sur les actions qu’un adversaire peut entreprendre lorsqu’il opère au sein d’un réseau industriel.

Utilisation des Matrices

Les matrices MITRE ATT&CK peuvent être utilisées à plusieurs fins, notamment :

La cartographie des menaces : Pour identifier les TTP qui constituent le plus grand risque pour une organisation.
L’évaluation des contrôles de sécurité : Pour déterminer si les contrôles existants sont efficaces contre les menaces identifiées.
La planification de la réponse aux incidents : Pour définir les procédures à suivre en cas d’attaque.
La formation à la sécurité : Pour sensibiliser les utilisateurs aux TTP les plus courants.

En intégrant ces matrices dans leurs processus et outils de sécurité, les organisations peuvent renforcer leur capacité à détecter, répondre et prévenir les cybermenaces avec une efficacité accrue.

Cas pratiques :

Triage des alertes, détection des menaces et réponse

De nombreuses solutions de sécurité, telles que SIEM, EDR.., peuvent intégrer les données de MITRE ATT&CK pour trier les alertes, enrichir les informations sur les menaces, et déclencher des protocoles de réponse aux incidents ou des réponses automatisées.

Recherche de menaces

C’est un exercice de sécurité proactive où sont recherchées des menaces qui ont échappé aux mesures de cybersécurité existantes tout en se basant sur les informations de MITRE ATT&CK.

Red Team / émulation d’adversaire

Les équipes de sécurité peuvent utiliser les informations de MITRE ATT&CK pour simuler des cyberattaques réelles, l’objectif est de tester l’efficacité des politiques, pratiques et solutions de sécurité mises en place, et d’aider à identifier les vulnérabilités à corriger.

Évaluation de la maturité du SOC

La matrice permet d’évaluer sa capacité à bloquer ou atténuer systématiquement les cybermenaces avec une intervention minimale ou nulle.

En conclusion

Vous l’avez compris, MITRE ATT&CK est une ressource inestimable pour les professionnels de la cybersécurité, offrant une compréhension approfondie des tactiques, techniques et procédures utilisées par les attaquants. Rester informés est essentiel pour la sécurisation des infrastructures informatiques contre les menaces croissantes. Vous avez des questions ? Vous souhaitez en savoir plus ? N’hésitez pas à contacter un expert en cybersécurité tel que Cinalia pour obtenir des conseils personnalisés et adaptés à votre situation.