MITRE ATT&CK (techniques d'attaque)

Un rapport de forensique écrit de plus en plus souvent T1078 (comptes valides) ou T1486 (données chiffrées pour impact) là où il aurait écrit une phrase. Ces codes viennent de MITRE ATT&CK, la base de connaissance des tactiques et techniques d'attaquants que tient MITRE, organisme américain à but non lucratif. Elle est publique depuis 2015. La matrice Enterprise aligne 14 tactiques, de la reconnaissance à l'impact, en passant par l'accès initial, la persistance, le mouvement latéral ou l'exfiltration. Sous chacune, des techniques et sous-techniques, documentées par des cas observés et rattachées aux groupes qui les emploient. Pour le marché de l'assurance, l'apport est un vocabulaire commun. Des éditeurs de sécurité et certains souscripteurs relient les contrôles d'un assuré aux techniques qu'ils bloquent ou détectent. L'EDR répond à telle série, l'authentification multifacteur en neutralise une autre, la segmentation freine le mouvement latéral. Après un sinistre, le post-mortem se rédige technique par technique, ce qui permet à l'assureur de voir où la chaîne a cédé et de comparer avec ce que le questionnaire déclarait. Une couverture de matrice se mesure mal, cependant : une case cochée par un éditeur dit qu'une règle de détection existe, rarement qu'elle a tenu face à un attaquant réel. À ne pas confondre avec la cyber kill chain, le modèle en sept étapes publié par Lockheed Martin en 2011, plus linéaire, ni avec CVE et CVSS, qui recensent et notent des vulnérabilités logicielles. ATT&CK décrit ce que fait l'attaquant une fois la porte trouvée ; la CVE nomme la porte.