Choisir sans renoncer : construire sa stratégie de détection autour de la matrice MITRE ATT&CK

L’attaquant n’a besoin que d’un seul chemin à travers la matrice pour atteindre son objectif. Le défenseur, lui, dispose de moyens finis. Tout couvrir est impossible, couvrir au hasard ne sert à rien : il faut une stratégie. C’est tout le propos de cette conférence, deuxième épisode d’un retour d’expérience mené au sein d’une équipe de détection de l’industrie navale, autour d’une idée simple à énoncer et exigeante à tenir : choisir sans renoncer.

Nous l’avons suivie pour vous, et elle résume assez bien notre propre conviction chez Humanix : la détection n’est pas un empilement d’outils, c’est une démarche. Voici ce que nous en retenons.

MITRE ATT&CK, le pivot

ATT&CK est une base de connaissances des tactiques (les grandes étapes d’une intrusion : reconnaissance, accès aux identifiants, latéralisation, impact…) et des techniques et sous-techniques qui les composent. Sa force : elle est fondée sur des observations réelles, mise à jour régulièrement, et déclinée selon les contextes (systèmes d’information classiques, systèmes industriels, et désormais un volet dédié à l’IA).

Surtout, elle offre un langage commun entre les équipes offensives, défensives, la Purple Team et le management. C’est ce pivot qui permet d’articuler les quatre piliers de la stratégie présentée.

1. Le socle : cadrer avant de couvrir

On ne part jamais d’une page blanche. Le système d’information a déjà une histoire, des choix déjà faits, des contraintes. Le premier travail consiste donc à écarter de la matrice ce qui est hors périmètre : inutile de se préoccuper de techniques macOS ou cloud si elles n’existent pas chez vous. Réduire la matrice à ce qui vous concerne, c’est déjà un choix assumé.

Vient ensuite un point trop souvent oublié : identifier ses sources de télémétrie. La plus belle stratégie de détection ne vaut rien sans les journaux pour l’alimenter. Cartographier ses logs et ses angles morts est un prérequis, pas une option.

Dernier moteur du cadrage : la réglementation. Pour un industriel soumis à des obligations, les textes (PSSI, référentiels sectoriels…) imposent des exigences que l’on peut traduire en techniques à couvrir, avec un atout maître : la traçabilité, de la règle technique jusqu’à l’exigence qui la justifie. La nuance, énoncée sans détour : ne pas surinterpréter les textes, dont la portée est limitée et parfois en retard sur la réalité des systèmes.

2. Prioriser : risque, renseignement, terrain

Une fois le périmètre borné, il faut hiérarchiser. Trois approches, complémentaires plutôt que concurrentes.

L’analyse de risque (EBIOS RM). Son grand mérite est de placer le métier au cœur : c’est l’activité, pas seulement le cyber ou l’architecture, qui dit ce qui est vital. On décline des scénarios stratégiques puis opérationnels, que l’on projette en chemins d’attaque dans la matrice, comme autant de « pentests virtuels ». C’est structurant, mais coûteux : l’équipe en a mené des centaines.

Le renseignement sur la menace (CTI). Sur trois niveaux : stratégique (le contexte, pour prioriser), tactique (les indicateurs de compromission), et opérationnel (les TTP des groupes qui vous visent réellement). L’idée : orienter le renseignement vers la méthodologie d’attaque, pas seulement vers des indicateurs périssables.

Le terrain : audits, pentests, Red Team. Plutôt que d’imaginer des scénarios « de l’espace », partez de ce qui casse déjà chez vous. Sur dix, quinze, vingt pentests, c’est souvent la même technique qui ressort : voilà une priorité évidente. Attention toutefois à l’effet pervers : un unique rapport de pentest, aussi douloureux soit-il, ne doit pas dicter toute la stratégie par pure réaction. On prend la photo globale. La bonne priorisation naît du croisement des trois approches.

3. La forge : industrialiser la détection

Une règle de détection n’est pas un script écrit « vite fait » dans un coin du SIEM. C’est un objet que l’on structure, versionne et documente, en imposant aux ingénieurs de rattacher chaque règle à la technique ATT&CK qu’elle couvre.

• SIGMA comme format pivot : agnostique du SIEM, il permet de réutiliser et d’enrichir les règles de la communauté.
• CI/CD de la détection : tests statiques et rejeux automatisés dans le SIEM à chaque écriture de règle.
• Jumeau numérique et stimuli à la volée : on rejoue l’attaque comme si l’adversaire l’avait réalisée, pour vérifier que la règle déclenche vraiment. Bénéfice décisif : la reproductibilité et la gestion de l’obsolescence.

Le sous-produit de cette forge est précieux : une roadmap claire, qui distingue les règles déployées de celles qui restent à couvrir.

4. Mesurer : la Purple Team comme juge de paix

Écrire des règles, c’est bien. Évaluer leur efficacité, c’est mieux. C’est le rôle de la Purple Team : mesurer la robustesse de chaque règle sur une échelle simple (détecté, partiellement détecté, seulement journalisé, rien), et aller jusqu’à mesurer la réaction, calibrée sur la gravité de la situation.

On suit alors des indicateurs de performance cyber : délai de détection, qualité d’alerte, surqualité, faux positifs… le tout versionné. Car il faut accepter une vérité inconfortable : la performance de détection se dégrade naturellement avec le temps. Comme un détecteur de fumée, elle vieillit face à une menace qui évolue. D’où l’intérêt de pouvoir, dans deux ans, rejouer les mêmes stimuli pour vérifier qu’on tient au moins la ligne de base, et d’en ajouter de nouveaux.

Certaines techniques ne seront jamais couvertes à 100 %, comme l’abus de binaires légitimes de Windows. On l’accepte, on le trace, et on le montre. Une couverture honnête vaut mieux qu’une couverture rêvée.

Le livrable final est une matrice de couverture qui sert de reporting : règles couvertes et validées (avec l’accord de la Purple, de la Red et du métier), partiellement couvertes, non couvertes (la file de priorités), et hors périmètre. Un indicateur visuel, lisible par le management, qui suit dans le temps la qualité de la couverture, donc la performance réelle de la stratégie.

Ce que nous en retenons chez Humanix

Cette démarche condense ce que nous défendons au quotidien. D’abord, la détection est une stratégie, pas un catalogue de produits : on borne, on priorise, on industrialise, on mesure, on gouverne. Ensuite, la synergie Red / Blue / Purple y prend tout son sens : l’offensif et les audits nourrissent la priorisation, la Purple mesure, la Blue construit et maintient.

Enfin, mettre le métier au cœur de l’analyse de risque rejoint notre conviction première : la cybersécurité au service de l’activité, et centrée sur l’humain. Et rassurez-vous : cette logique se transpose à une PME, à plus petite échelle. Pas besoin de jumeau numérique pour commencer. Posez la matrice, identifiez vos journaux, priorisez à partir d’un audit ou d’un pentest, mesurez quelques règles. C’est la démarche qui compte, pas la taille de l’outillage.

Note. Cet article est notre compte-rendu, à des fins pédagogiques, d’une conférence de terrain (deuxième épisode, dans la continuité d’une première intervention l’an dernier) consacrée à la construction d’une stratégie de détection multi-périmètres dans l’industrie navale. Les analyses et raccourcis sont les nôtres. Vous souhaitez en discuter, ou transposer cette démarche à votre organisation ? Parlons-en.