{"id":222463,"date":"2021-12-08T09:55:29","date_gmt":"2021-12-08T08:55:29","guid":{"rendered":"https:\/\/www.intrinsec.com\/?p=222463"},"modified":"2021-12-08T09:55:29","modified_gmt":"2021-12-08T08:55:29","slug":"pilotage-dun-soc-interets-et-limites-de-la-matrice-attck","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/pilotage-dun-soc-interets-et-limites-de-la-matrice-attck\/","title":{"rendered":"Managing a SOC: Advantages and limitations of the ATT&CK matrix"},"content":{"rendered":"\n

Le but de cet article est de d\u00e9montrer que l\u2019excellente matrice ATT&CK devrait plut\u00f4t \u00eatre utilis\u00e9e comme support et non comme point central d\u2019une strat\u00e9gie de supervision SSI. En effet, il est parfois suppos\u00e9 que ATT&CK peut suffire \u00e0 piloter un SOC, et nous allons nous attacher ici \u00e0 montrer que ce r\u00e9f\u00e9rentiel ne saurait \u00eatre utilis\u00e9, seul afin d\u2019assurer un pilotage du SOC, qui soit \u00e0 la fois pragmatique et align\u00e9 avec les enjeux s\u00e9curit\u00e9.<\/strong><\/p>\n\n\n\n

\"\"
La matrice ATT&CK <\/strong>r\u00e9pertorie les tactiques et techniques utilis\u00e9es par les attaquants lors d’une attaque.<\/em><\/figcaption><\/figure><\/div>\n\n\n\n
\n\n\n\n

La base de connaissance MITRE ATT&CK<\/strong>[1]<\/span> appara\u00eet aujourd\u2019hui de plus en plus comme un r\u00e9f\u00e9rentiel pr\u00e9pond\u00e9rant dans le monde de la cyber-s\u00e9curit\u00e9, que ce soit pour des \u00e9quipes SOC, CERT, CTI, ou T.I. (Test d\u2019Intrusion). On le retrouve notamment, de mani\u00e8re coh\u00e9rente, utilis\u00e9 dans les publications sp\u00e9cialis\u00e9es autour de la menace cyber, telles que celles de FireEye[2]<\/span>, Microsoft[3]<\/span>, ou m\u00eame la \u00ab\u00a0Threat Landscape\u00a0\u00bb <\/a>de la CTI Intrinsec[4].<\/a><\/p>\n\n\n\n

Ce r\u00e9f\u00e9rentiel apporte entre autres l\u2019avantage de permettre \u00e0 ces diff\u00e9rents m\u00e9tiers de la cyber de parler le m\u00eame langage, autour d\u2019un m\u00eame r\u00e9f\u00e9rentiel qui \u00e9num\u00e8re et d\u00e9crit des modes op\u00e9ratoires offensifs, aussi appel\u00e9s TTP<\/strong> (TTP signifiant \u00ab\u00a0Tactics, technics, and Procedures\u00a0\u00bb[5]<\/a>), qui \u00e9volue m\u00eame, sous impulsion de la NSA, dans un corolaire de d\u00e9fense (\u00ab\u00a0D3fend\u00a0\u00bb[6]<\/a>).<\/p>\n\n\n\n

Ainsi, par exemple lors d\u2019un entra\u00eenement SOC (aussi appel\u00e9 \u00ab purple teaming \u00bb<\/a>), l\u2019\u00e9quipe c\u00f4t\u00e9 offensif s\u2019attend normalement \u00e0 recevoir une liste de TTP qui sont cens\u00e9s \u00eatre d\u00e9tectables par le SOC. A la fin de l\u2019entrainement, donc du \u00ab purple teaming \u00bb, les deux \u00e9quipes SOC (\u00ab blue team \u00bb) et offensive (\u00ab red team \u00bb) peuvent confirmer, TTP par TTP, ce qui a \u00e9t\u00e9 d\u00e9tect\u00e9 et ce qui ne l\u2019a pas \u00e9t\u00e9. Ceci permet au SOC de s\u2019am\u00e9liorer dans le temps, en exploitant le RETEX des non-d\u00e9tections, mais aussi de v\u00e9rifier la pr\u00e9sence de tra\u00e7abilit\u00e9 avant la d\u00e9tection (et donc la profondeur de couverture de la supervision).<\/p>\n\n\n\n

En outre, ce r\u00e9f\u00e9rentiel permet \u00e9galement de formaliser les proc\u00e9d\u00e9s des attaquants qui sont (le plus) observ\u00e9s, et ainsi d\u00e9finir des tendances, permettant d\u2019orienter les efforts des \u00e9quipes de s\u00e9curit\u00e9 de SOC voire CSIRT. En fait, MITRE ATT&CK est probablement d\u00e9j\u00e0 devenu le standard industriel dans le monde de la cyber, pour ce qui est de la documentation des proc\u00e9d\u00e9s offensifs, c\u00f4t\u00e9 \u00e9diteurs comme soci\u00e9t\u00e9s de service.<\/p>\n\n\n\n

Cependant, \u00e0 date, la matrice ATT&CK comporte 14 tactiques, mais surtout 185 techniques et 367 sous-techniques, autant dire que le r\u00e9f\u00e9rentiel est riche, en plus d\u2019\u00e9voluer dans le temps ! La couverture \u00e0 100% d\u2019un tel r\u00e9f\u00e9rentiel par un SOC semble irr\u00e9aliste, et surtout, peu pertinente dans le contexte client. La question qui se pose donc, d\u2019un point de vue pragmatique, est : o\u00f9 est-ce que l\u2019effort doit \u00eatre mis en ce qui concerne l\u2019am\u00e9lioration des capacit\u00e9s de d\u00e9tection du SOC ? Plus pr\u00e9cis\u00e9ment, comment choisir quelles techniques, quelles sous-techniques, et m\u00eame quelles tactiques doivent faire l\u2019objet d\u2019une supervision SSI, \u00e0 court, moyen, et long terme ?<\/strong><\/p>\n\n\n\n

En effet, prenons un exemple concret\u00a0: l\u2019usage de scripts est l\u2019un des TTP les plus courants en ce moment, et correspondant \u00e0 la tactique \u00ab\u00a0Execution\u00a0\u00bb dans ATT&CK. Ce TTP est notamment souvent utilis\u00e9 par divers groupes d\u2019attaquants qui se livrent \u00e0 de l\u2019extorsion d\u2019argent, via<\/em> ran\u00e7ongiciel[7]<\/a> (et \u00e9ventuellement exfiltration d\u2019informations au pr\u00e9alable, avec chantage \u00e0 la diffusion). Ceci peut repr\u00e9senter un enjeu de s\u00e9curit\u00e9 majeur pour une organisation, ou soci\u00e9t\u00e9, donn\u00e9e.<\/p>\n\n\n\n

Mais, si en fait, cette m\u00eame entit\u00e9 consid\u00e8re que le hame\u00e7onnage<\/a> est \u00e9galement un enjeu de s\u00e9curit\u00e9 majeur, alors les TTP de la technique \u00ab\u00a0Command and Scripting Interpreter\u00a0\u00bb[8]<\/a>, r\u00e9f\u00e9renc\u00e9e T1059, ne seront pas forc\u00e9ment les plus pertinents en termes de d\u00e9tection.\u00a0 A l\u2019inverse, les TTP de la technique \u00ab phishing \u00bb[9]<\/a>, r\u00e9f\u00e9renc\u00e9e T1566, semblent bien plus ad\u00e9quats.<\/p>\n\n\n\n

Oui, mais\u2026 le vrai probl\u00e8me est que les capteurs<\/strong>[10]<\/a>\u00a0n\u00e9cessaires pour la d\u00e9tection de la T1566 sont assez diff\u00e9rents<\/strong> de ceux pour la T1059. Plus pr\u00e9cis\u00e9ment, pour la partie \u00ab\u00a0Command and Scripting Interpreter\u00a0\u00bb (T1059), le r\u00e9f\u00e9rentiel ATT&CK liste\u00a0comme capteurs :<\/p>\n\n\n\n