Comprendre MITRE ATT&CK

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) est une base de connaissances gratuite et publique qui décrit comment les attaquants se comportent réellement une fois qu'ils ciblent une organisation. Elle est maintenue par MITRE, un organisme américain à but non lucratif, et repose uniquement sur des comportements observés sur le terrain et documentés publiquement : rapports d'incident, recherches d'éditeurs, alertes gouvernementales.

Sa principale valeur est un vocabulaire commun. Au lieu d'écrire « l'attaquant a utilisé un document Word piégé puis a récupéré des mots de passe », un analyste écrit T1566.001 et T1003.001. Une équipe CTI à Paris, un SOC à Montréal et un éditeur de détection à Tokyo comprennent exactement la même chose, et peuvent comparer menaces, détections et angles morts sans ambiguïté.

ATT&CK est organisé en hiérarchie, de l'objectif de l'attaquant jusqu'aux commandes exactes qu'il a tapées. Savoir distinguer ces quatre niveaux est la compétence la plus importante pour utiliser le référentiel.

Lire un identifiant

Chaque objet d'ATT&CK possède un identifiant stable dont le préfixe indique le type :

Sur le site, le point d'une sous-technique devient une barre oblique dans l'URL : https://attack.mitre.org/techniques/T1566/001/.

Les trois matrices

La matrice n'est que la porte d'entrée. Derrière, ATT&CK relie les techniques aux acteurs qui les utilisent, aux logiciels qui les mettent en œuvre, et aux moyens de les atténuer et de les détecter. Le tout est publié au format STIX 2.1, que vos outils peuvent importer directement.

« Mapper », c'est traduire un récit (une chronologie d'incident, un rapport CTI, un rapport de sandbox) en identifiants ATT&CK. La méthode ci-dessous suit l'approche recommandée par la CISA dans ses Best Practices for MITRE ATT&CK Mapping.

Exemple commenté

Voici un extrait d'un rapport d'incident (fictif) sur un acteur à motivation financière :

La victime a reçu un e-mail se faisant passer pour un fournisseur, avec
une pièce jointe « Facture_4471.docm ». Après ouverture et clic sur
« Activer le contenu », une macro VBA a lancé PowerShell avec une commande
encodée en base64. Le script a téléchargé upd.dll depuis
https://cdn-update[.]example/s2/ et l'a exécutée avec rundll32.exe. La DLL
a créé la valeur de registre Run « OneDriveUpdate » pour redémarrer à
chaque ouverture de session, puis a communiqué en HTTPS.
Deux jours plus tard, l'opérateur a lancé Mimikatz pour dumper la mémoire
de LSASS, utilisé les identifiants admin du domaine volés pour se
connecter en RDP au serveur de fichiers, compressé le partage Finance avec
7-Zip et envoyé les archives vers un service de stockage cloud.

L'ATT&CK Navigator est une application Web gratuite de MITRE (en ligne ou auto-hébergée) qui affiche la matrice et permet de colorer, noter et commenter les techniques. Chaque vue est un calque (layer), enregistré dans un petit fichier JSON que l'on peut partager, versionner dans Git ou générer par script.

Le calque ci-dessous met en évidence les techniques de l'exemple commenté (réduit à cinq entrées) :

{
  "name": "Incident 2026-041 - phishing fausse facture",
  "versions": {
    "attack": "20",
    "navigator": "5.3.2",
    "layer": "4.5"
  },
  "domain": "enterprise-attack",
  "description": "Techniques observées pendant l'incident 2026-041",
  "techniques": [
    { "techniqueID": "T1566.001", "tactic": "initial-access", "score": 1, "comment": "Facture_4471.docm" },
    { "techniqueID": "T1059.001", "tactic": "execution", "score": 1, "comment": "PowerShell encodé lancé par la macro" },
    { "techniqueID": "T1547.001", "tactic": "persistence", "score": 1, "comment": "Valeur Run OneDriveUpdate" },
    { "techniqueID": "T1003.001", "tactic": "credential-access", "score": 1, "comment": "Mimikatz sur WKS-042" },
    { "techniqueID": "T1021.001", "tactic": "lateral-movement", "score": 1, "comment": "RDP vers FS-01" }
  ],
  "gradient": {
    "colors": ["#ffffff", "#20c997"],
    "minValue": 0,
    "maxValue": 1
  }
}

Adaptez versions aux versions d'ATT&CK et du Navigator que vous utilisez réellement. Le champ tactic est facultatif : sans lui, la technique est mise en évidence dans toutes les colonnes où elle apparaît.