MITRE ATT&CK & la kill chain

Page concept

Cette page explique les grands principes d’ATT&CK et de la kill chain — de quoi parler avant de tagger une règle ou de lire un rapport d’incident. La mise en œuvre pas à pas est dans le TP — Couverture & Corrélation. Les ressources en fin de page sont votre point de départ pour aller plus loin par vous-même.

Le concept en une phrase

ATT&CK est le langage commun qui décrit ce que font réellement les attaquants (tactiques → techniques), et la kill chain l’ordre dans lequel ils le font.

Sans vocabulaire partagé, chaque analyste décrit une intrusion avec ses propres mots. ATT&CK et la kill chain donnent une grille de lecture commune : n’importe quel SOC, n’importe où, peut nommer une étape d’attaque de la même façon.

---

Les grands principes

1. Penser en attaquant — la kill chain

La kill chain découpe une intrusion en étapes séquentielles, du premier contact à l’objectif final :

flowchart LR
    R[Reconnaissance] --> I[Intrusion initiale]
    I --> M[Mouvement latéral]
    M --> E[Exfiltration]

Chaque étape a sa propre logique défensive : bloquer la reconnaissance limite l’information disponible à l’attaquant, mais ne l’arrête pas s’il passe outre ; détecter le mouvement latéral coupe le chemin vers la cible avant l’exfiltration. Penser en kill chain, c’est se demander à chaque log : « à quelle étape appartient cet événement ? ».

2. La matrice ATT&CK — tactiques (pourquoi) et techniques (comment)

ATT&CK affine la kill chain avec un vocabulaire structuré en deux niveaux :

• Les tactiques — le pourquoi : l’objectif de l’attaquant à un instant donné (Initial Access, Persistence, Exfiltration…). Ce sont les colonnes de la matrice.
• Les techniques — le comment : la méthode concrète pour atteindre cet objectif (T1566 Phishing, T1078 Valid Accounts, T1041 Exfiltration Over C2 Channel…). Chaque tactique regroupe plusieurs techniques possibles.

Un même objectif (« obtenir un accès initial ») peut se réaliser par des techniques très différentes — phishing, exploitation d’une CVE, identifiants achetés. ATT&CK cartographie ce champ des possibles, construit sur l’observation de campagnes réelles.

3. Tagger ses détections = savoir ce qu’on couvre

Chaque règle Sigma porte un ou plusieurs tags attack.txxxx — voir Détection-as-code — Sigma. Une fois l’ensemble des règles taggées, un outil comme S2AN génère un layer que MITRE ATT&CK Navigator affiche sous forme de matrice colorée : chaque case verte est une technique pour laquelle au moins une règle existe. Cette vue de couverture répond à une question précise : « sur l’ensemble des techniques connues, lesquelles avons-nous instrumentées ? ».

4. La couverture n’est pas la protection

C’est le piège à ne jamais oublier : une case verte dans Navigator ne prouve pas qu’une attaque réelle serait détectée. Elle prouve qu’une règle existe et prétend couvrir cette technique — pas qu’elle a été testée contre un comportement d’attaque réaliste, ni qu’elle survit à une légère variation de la technique. Une case verte peut être une fausse sécurité si la règle est trop étroite, mal calée sur le bon log, ou jamais rejouée en conditions réelles. Vérifier qu’une couverture tient est le travail du purple team — voir le TP Purple Team.

5. Lire un incident avec ATT&CK — l’exemple du fil rouge

Le fil rouge TAAF (l’incident rejoué au jour J) se relit entièrement en tactiques/techniques ATT&CK :

Étape	Fait	Technique ATT&CK
T1	Phishing de julie.moreau, puis authentification VPN	T1566 (Phishing) → T1078 (Valid Accounts)
T3/T5	Accès au coffre CLASSIFIED-VAULT-X par svc_backup, collecte de genetic_samples	T1005 (Data from Local System) / T1074 (Data Staged)
T7	pg_dump de genetic_samples détecté par Falco au runtime	(signal comportemental, cf. IDS — signatures vs comportement)
T8 ⭐	Sortie vers l’extérieur bloquée par la segmentation OPNsense	T1041 (Exfiltration Over C2 Channel) — tentée, mais bloquée
T9	Beaconing DNS résiduel malgré le blocage	T1071 (Application Layer Protocol — C2 via DNS)

Ce tableau illustre pourquoi la couverture seule ne suffit pas (principe 4) : T1 à T7 avancent sans accroc jusqu’à ce que la segmentation réseau — pas une règle de détection — arrête l’exfiltration en T8. La détection a vu passer l’attaquant ; c’est l’architecture qui l’a stoppé.

---

Où ça sert dans TAAF

• TP — Couverture & Corrélation — tagger les règles, générer le layer Navigator, écrire une règle de corrélation qui relie les techniques entre elles.
• TP — Audit AD (PingCastle) — l’audit d’un existant se lit aussi en techniques ATT&CK exploitables (persistance, élévation de privilèges AD).
• TP Purple Team — rejouer une technique pour vérifier qu’une case verte détecte réellement.
• Threat Model TAAF — la cartographie qui associe chaque TP à la menace qu’il couvre, dans le même vocabulaire ATT&CK.

---

Ressources associées

Ces liens sont des points de départ pour vos propres recherches — voir la bibliothèque complète sur la page Ressources, section Détection & SIEM.

À chercher par vous-même : « MITRE ATT&CK matrix », « cyber kill chain Lockheed Martin », « ATT&CK Navigator layer », « coverage vs detection efficacy ».