MITRE ATT&CK

Structure : tactiques, techniques et procédures

ATT&CK organise la connaissance adverse selon deux axes complémentaires. Les tactiques représentent le « pourquoi » : l'objectif que poursuit l'attaquant à une étape donnée, comme la découverte de l'environnement ou l'accès aux identifiants. Les techniques décrivent le « comment » : les moyens concrets employés pour atteindre cet objectif. Chaque technique peut se décliner en sous-techniques plus granulaires, et s'accompagne de procédures qui documentent des usages réels par des groupes d'attaquants identifiés.

La matrice Enterprise compte plusieurs tactiques couvrant l'ensemble du cycle d'attaque, parmi lesquelles :

• Reconnaissance et accès initial : comment l'adversaire entre dans le système d'information.
• Découverte (Discovery) : cartographie de l'environnement, des comptes, des partages et des services.
• Accès aux identifiants (Credential Access) : vol ou collecte de mots de passe, de tickets ou de secrets.
• Mouvement latéral (Lateral Movement, TA0008) : déplacement d'un système à un autre au sein du réseau.
• Collection : agrégation des données ciblées avant exfiltration.

Cette taxonomie permet aux défenseurs de raisonner non plus en termes d'outils ou de signatures, mais en termes de comportements, qui sont plus stables et plus difficiles à modifier pour un attaquant.

ATT&CK et la sécurité par tromperie

La sécurité par tromperie consiste à semer dans l'environnement des éléments factices — leurres, breadcrumbs, honeytokens — destinés à attirer et à révéler l'attaquant. ATT&CK offre une grille de lecture pour comprendre quelles tactiques ces dispositifs détectent et où les positionner. Un attaquant légitime n'a aucune raison d'interagir avec un actif factice : toute interaction constitue donc un signal à forte valeur, que l'on peut rattacher à une tactique précise.

Les dispositifs trompeurs sont particulièrement efficaces sur quelques tactiques clés :

• Découverte : un faux serveur ou un partage piégé déclenche une alerte dès que l'attaquant énumère le réseau.
• Accès aux identifiants : des honeytokens (identifiants factices) signalent toute tentative de réutilisation.
• Mouvement latéral : des breadcrumbs orientent l'attaquant vers un leurre lorsqu'il cherche à rebondir entre machines.
• Collection : des fichiers appâts révèlent les tentatives d'agrégation de données sensibles.

En cartographiant ses détections sur ATT&CK, une équipe de sécurité identifie ses angles morts : si aucune technique de mouvement latéral n'est couverte par un leurre, c'est là qu'il faut placer de nouveaux breadcrumbs. Cette approche réduit aussi le temps de présence (dwell time) de l'attaquant, en multipliant les occasions de le détecter avant qu'il n'atteigne sa cible.

MITRE Engage, le complément dédié à la tromperie

Si ATT&CK décrit le comportement des adversaires, MITRE Engage est un cadre distinct et complémentaire, consacré à l'engagement de l'adversaire et à la défense active. Engage aide les défenseurs à planifier des opérations de tromperie : exposer des leurres, susciter certains comportements, collecter du renseignement et orienter l'attaquant. Là où ATT&CK répond à la question « que fait l'attaquant ? », Engage répond à « comment l'amener à se révéler et le perturber ? ».

Utilisés conjointement, ces deux référentiels structurent une démarche défensive cohérente : ATT&CK pour qualifier la menace et mesurer la couverture des détections, Engage pour concevoir le dispositif de tromperie qui exploite ces connaissances. C'est dans cette articulation que les solutions de deception trouvent leur pleine valeur opérationnelle.