MITRE : MITRE Corporation, organisme américain à but non lucratif (nom propre, sans développement officiel)
Sécurité
MITRE : nom propre de la MITRE Corporation, organisme américain à but non lucratif, dont le nom n'a pas de développement officiel. « L'organisme qui range les malheurs informatiques de tout le monde dans des catalogues publics numérotés », par analogie avec le greffe d'un tribunal, qui ne juge personne mais sans lequel personne ne retrouverait le dossier.
Statut : Fondé en 1958, il gère pour le gouvernement fédéral américain des centres de recherche et développement financés sur fonds publics, dans la défense, l'aviation ou la cybersécurité. Il n'est ni une agence gouvernementale ni un éditeur commercial, position qui lui permet de décevoir équitablement les deux.
Référentiels de sécurité : Il a créé et administre depuis 1999 le programme CVE (Common Vulnerabilities and Exposures), qui numérote les vulnérabilités connues, et publie ATT&CK, ainsi que CWE (Common Weakness Enumeration, catalogue des types de faiblesses logicielles), CAPEC (Common Attack Pattern Enumeration and Classification, catalogue des schémas d'attaque) et D3FEND (catalogue des contre-mesures défensives).
Fragilité : Le programme CVE repose sur un contrat fédéral passé avec la CISA. En avril 2025, ce contrat a failli expirer et n'a été prolongé qu'in extremis, rappelant que la numérotation mondiale des vulnérabilités tenait à un bon de commande.
MITRE n'est pas ATT&CK : Dire « mapper sur le MITRE » pour parler de la matrice ATT&CK est un raccourci courant mais impropre : MITRE est l'organisme, ATT&CK l'un de ses référentiels.
Ce qui arrive si on s'en passe
Confondre l'organisme et ses référentiels produit des rapports qui « mappent sur le MITRE » sans préciser ni la base ni la version, ce qui rend toute comparaison impossible six mois plus tard. Plus sérieusement, une organisation qui ignore d'où viennent les identifiants CVE et les techniques ATT&CK ne mesure pas sa dépendance à leur publication : si celle-ci s'interrompt, son outil de gestion des vulnérabilités continue d'afficher un tableau rassurant, simplement figé. Les nouvelles failles cessent alors d'apparaître dans les alertes sans cesser d'exister. Suivre les annonces de MITRE et de la CISA, et savoir vers quelles sources de secours se tourner, fait partie de la veille au même titre que les correctifs.
Explication de la marmotte
MITRE est un organisme américain sans but lucratif qui mène des recherches pour l'État fédéral, notamment en cybersécurité. Il tient deux listes utilisées dans le monde entier : CVE, qui donne un numéro unique à chaque faille de sécurité connue, et ATT&CK, qui décrit les méthodes des attaquants. Grâce à ces listes, deux équipes de pays différents peuvent parler exactement de la même faille ou de la même méthode sans se tromper. MITRE n'est pas une police : il ne poursuit personne, il classe et il nomme.
Où ce terme est utilisé
- MITRE ATT&CK et CVE en cybersécurité (13 occurrences)
- Apprentissage automatique et réseaux de neurones, attaques du modèle (2 occurrences)
- AI Act : exactitude, robustesse et cybersécurité d'une IA à haut risque (article 15) (1 occurrence)
- Différence entre IA et LLM : un champ entier, un type de modèle (1 occurrence)
- JPCERT/CC rôle, outils malware et usage opérationnel (1 occurrence)
- Organismes (1 occurrence)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (1 occurrence)
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition (1 occurrence)
- PSIRT et divulgation coordonnée des vulnérabilités produit sous CRA (1 occurrence)