ATT&CK : Adversarial Tactics, Techniques, and Common Knowledge (MITRE)
Sécurité
ATT&CK : Adversarial Tactics, Techniques, and Common Knowledge, base de connaissances publiée par l'organisme américain MITRE. « Le catalogue raisonné de tout ce que les attaquants ont déjà été vus faire, rangé par objectif et par geste », par analogie avec l'herbier du botaniste, à ceci près que chaque spécimen a mordu quelqu'un avant d'être épinglé.
Ce qu'on y trouve : Des tactiques, c'est-à-dire le but poursuivi à une étape de l'attaque (accès initial, persistance, élévation de privilèges, exfiltration…), et sous chacune des techniques et sous-techniques, c'est-à-dire la manière d'y parvenir, chacune avec un identifiant stable (T1059, T1566.001…), des exemples d'emploi observés, des mesures d'atténuation et des pistes de détection.
Trois matrices : Enterprise (postes, serveurs, annuaires, cloud, conteneurs), Mobile et ICS (Industrial Control Systems) pour les systèmes industriels. Depuis la version 19, la matrice Enterprise compte 15 tactiques : l'ancienne tactique « Defense Evasion » a été scindée en « Stealth » (se cacher) et « Defense Impairment » (abîmer les défenses), distinction que les attaquants pratiquaient depuis longtemps sans attendre qu'on la nomme.
Groupes, logiciels, campagnes : La base relie chaque technique aux groupes d'attaquants, aux logiciels malveillants et aux campagnes qui l'ont employée, d'après des rapports publics. C'est un relevé de ce qui a été vu et documenté, pas un inventaire de ce qui est possible : une technique absente n'est pas une technique impossible, seulement une technique discrète ou récente.
Usages : Décrire une attaque dans un vocabulaire commun, mesurer la couverture de détection d'un SOC technique par technique, construire un scénario de red team ou d'exercice, comparer des outils de défense. Elle est gratuite et consultable par tous sur attack.mitre.org, attaquants compris, ce qui rétablit une certaine équité.
Ce qui arrive si on s'en passe
Une équipe qui se passe d'ATT&CK décrit chaque incident avec ses propres mots, et ne peut donc ni comparer deux attaques, ni dire quelles techniques sa détection voit réellement. La couverture se mesure alors au nombre de règles écrites plutôt qu'aux comportements surveillés : l'exécution par PowerShell déclenche trois alertes redondantes, tandis que la persistance par tâche planifiée ou l'exfiltration par un service cloud légitime ne déclenchent rien. L'écart n'apparaît qu'au moment où un attaquant l'emprunte, généralement sans prévenir. À l'inverse, colorier la matrice en vert ne prouve rien tant que chaque case n'a pas été testée par un exercice réel.
Explication de la marmotte
Les attaquants informatiques réutilisent souvent les mêmes méthodes : entrer par un faux courriel, voler un mot de passe, se cacher sur un ordinateur, puis copier des fichiers vers l'extérieur. Un organisme américain, MITRE, a rangé toutes ces méthodes observées dans un grand tableau public, classées par étape de l'attaque, avec pour chacune des exemples réels et des conseils pour la repérer ou la bloquer. Les équipes de défense s'en servent comme d'une liste de vérification : pour chaque méthode, elles se demandent si elles sauraient la voir passer.
Où ce terme est utilisé
- MITRE ATT&CK et CVE en cybersécurité (16 occurrences)
- Comment formuler une hypothèse de threat hunting (5 occurrences)
- Reconstruire une timeline d'attaque après incident (3 occurrences)
- SOC centre des opérations de sécurité : rôle, organisation, mesure (3 occurrences)
- Exécuter un threat hunting à partir d'une hypothèse (2 occurrences)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (2 occurrences)
- Apprentissage automatique et réseaux de neurones, attaques du modèle (1 occurrence)
- Centraliser les journaux Sysmon des postes Windows (1 occurrence)
- JPCERT/CC rôle, outils malware et usage opérationnel (1 occurrence)
- Organismes (1 occurrence)