Arrêtez de compter les techniques MITRE. Commencez par fermer la porte d'entrée.

Il y a quelques semaines, j’ai assisté à la présentation de fin d’études d’un étudiant en Software Development d’une haute école néerlandaise. Le travail était bon, mais un seul instant de son exposé m’est resté en tête depuis. Il avait lu une étude de 2024 de la NC State University, et il a posé à la salle une question dont je ne parviens pas à me défaire : si les attaquants continuent, année après année, de recourir au même ensemble restreint de techniques, pourquoi l’ensemble de notre secteur s’obstine-t-il à mesurer autre chose ?

C’est une question légitime, et plus j’y ai réfléchi, plus elle m’a mis mal à l’aise. Car la réponse honnête est que nous mesurons la mauvaise chose, que nous la mesurons mal, et que nous vendons le résultat comme un réconfort.

L’arsenal est plus restreint que ce que suggère le marketing

L’étude en question, « Attackers reveal their arsenal » de Rahman, Basak, Mahdavi Hezaveh et Williams, a fait quelque chose d’agréablement concret. Les chercheurs ont examiné 667 rapports de renseignement sur les cybermenaces cités par MITRE ATT&CK, couvrant plus de dix mille techniques documentées, et se sont demandé lesquelles reviennent réellement.

La réponse est sobre pour quiconque imagine les attaquants comme des innovateurs sans limites. Ils ont identifié dix-neuf techniques prédominantes qui représentent ensemble plus d’un tiers de tout ce qui est documenté. Aucune de ces techniques prédominantes n’affichait de tendance à la baisse. L’image populaire de l’adversaire comme un innovateur perpétuel, toujours en quête de méthodes inédites, ne résiste pas à l’épreuve des faits. Les attaquants sont des créatures d’habitude. Ils réutilisent ce qui fonctionne, parce que ce qui fonctionne continue de fonctionner.

On pourrait penser que c’est une bonne nouvelle pour les défenseurs. Un arsenal restreint et stable ressemble à un problème que l’on peut maîtriser. Et pourtant, la réponse du secteur a consisté à bâtir tout un langage marketing autour de la couverture de cet arsenal dans son intégralité.

Alors pourquoi chaque éditeur vous vend-il une « couverture MITRE à 100 % » ?

C’est la question qu’un RSSI se pose réellement, généralement entre la deuxième et la troisième démonstration fournisseur. Chaque produit revendique une couverture complète de MITRE ATT&CK. Chaque carte de chaleur s’affiche d’un vert rassurant. Et presque rien de tout cela ne signifie ce que l’acheteur croit.

Des analyses indépendantes suggèrent que les systèmes SIEM traditionnels ne détectent en moyenne qu’environ 21 pour cent des techniques ATT&CK, et que de nombreuses revendications de couverture affichées en une reflètent des tests centrés sur les points de terminaison plutôt que les surfaces cloud, identité et SaaS où se jouent aujourd’hui tant de compromissions. Le chiffre affiché sur la diapositive et la protection réelle de l’environnement ne sont pas la même chose.

La couverture est facile à vendre parce qu’elle est facile à dessiner. Une matrice dont la plupart des cases sont remplies donne une impression de compétence. Empêcher un attaquant de jamais franchir la porte d’entrée, en revanche, est invisible. Personne ne photographie la compromission qui n’a pas eu lieu. Nous avons ainsi fini par récompenser la métrique qui se présente bien en démonstration plutôt que le résultat qui protège réellement l’organisation. C’est du théâtre de la couverture, et nous en payons tous le billet.

Le paradoxe le plus cruel : les techniques les plus courantes sont les plus difficiles à détecter

C’est ici que l’étude de la NC State devient véritablement embarrassante. Les chercheurs notent que les techniques les plus prédominantes paraissent anodines lorsqu’on les observe isolément. Rassembler des informations système, exécuter un interpréteur de commandes, transférer un fichier : chacune de ces actions est indiscernable d’une activité système ordinaire et légitime. Elles ne deviennent une attaque que lorsqu’on les observe en séquence, et à ce moment-là, l’acteur est déjà à l’intérieur.

Ce n’est pas une inquiétude théorique. Lors des évaluations MITRE ATT&CK 2025, l’un des scénarios de test a dû être abandonné parce que les évaluateurs ne parvenaient pas à distinguer de manière fiable les actions administratives d’apparence légitime de l’adversaire des actions réellement légitimes, comme l’a rapporté Forrester par la suite. Relisez cela. MITRE lui-même, menant un test contrôlé en connaissant parfaitement les agissements de l’attaquant, n’a pas pu distinguer clairement un comportement malveillant d’un comportement légitime pour ces techniques.

Ainsi, les techniques les plus utilisées par les attaquants sont précisément celles qui résistent le mieux à la détection. La carte de chaleur de couverture promet de les intercepter. Les faits démontrent que même les concepteurs du cadre peinent à le faire. Nous ne mesurons pas seulement la mauvaise chose ; nous affichons de la confiance précisément sur la partie du problème qui la mérite le moins.

Un aveu honnête, y compris à propos de ma propre plateforme

À ce stade, l’honnêteté exige que je tourne le regard vers moi-même. Guardian360 développe la plateforme Lighthouse, qui assure une analyse de vulnérabilités continue, des recommandations de conformité par rapport à plus de quarante normes et lois, des informations de sécurité Microsoft 365, ainsi que la détection d’intrusions. Si l’on prenait les dix-neuf techniques prédominantes de l’étude et que l’on se demandait combien notre plateforme prévient ou détecte de manière fiable, la réponse honnête est : très peu directement. La majeure partie de cet arsenal relève de comportements post-exploitation sur le point de terminaison, ce qui n’est pas ce qu’une plateforme de vulnérabilités et de conformité est conçue pour surveiller.

Je pourrais l’enjoliver. Je ne le ferai pas. Et voici ce qui compte réellement : aucun éditeur ne peut honnêtement prétendre couvrir l’ensemble de la chaîne non plus. Ceux qui vous montrent une matrice entièrement verte ne sont pas plus compétents que les autres. Ils sont simplement moins francs sur les limites de leur produit. Un acheteur est bien mieux servi par un fournisseur qui indique clairement ce qu’il fait, ce qu’il ne fait pas et où quelqu’un d’autre est nécessaire, que par celui qui a colorié toutes les cases en espérant que vous ne posiez pas de questions gênantes.

Là où la partie se gagne réellement : la porte d’entrée

Si les techniques prédominantes sont principalement des actions que les attaquants effectuent une fois à l’intérieur, la question évidente est de savoir comment ils sont entrés en premier lieu. Et sur ce point, les données sont particulièrement claires.

Selon le Verizon 2025 Data Breach Investigations Report, l’exploitation de vulnérabilités s’est hissée à la deuxième place des vecteurs d’accès initial, présente dans 20 pour cent des compromissions, en hausse de 34 pour cent par rapport à l’année précédente. Les identifiants volés représentent 22 pour cent, et l’hameçonnage se situe autour de 15 pour cent. Les deux ou trois manières dont les attaquants entrent réellement se situent toutes en tête de chaîne, et non enfouies dans les techniques post-exploitation qui remplissent les cartes de chaleur. L’étude elle-même parvient à la même conclusion par un autre chemin, en désignant le spear-phishing comme la voie d’infection initiale la plus prédominante.

C’est ici que l’effort défensif porte réellement ses fruits. Corriger ce qui fait face à internet, en particulier les équipements de périphérie et les VPN que les attaquants ciblent désormais avant même que le correctif n’ait été déployé. Combler les failles liées aux identifiants. Et concernant l’hameçonnage, soyez honnête sur ce que la formation peut et ne peut pas accomplir. Ce même rapport Verizon a constaté que la formation fait à peine bouger le taux de clic, qui reste obstinément autour de 1,5 pour cent, mais que les employés formés signalent les courriels suspects environ quatre fois plus souvent. Vous ne formerez pas des personnes pour qu’elles deviennent incliquables. Vous pouvez en revanche en faire un réseau de capteurs humains rapide. C’est un objectif différent, et bien plus réalisable.

Rien de tout cela ne nécessite un mur de cases vertes. Cela exige de décider que maintenir les attaquants à l’extérieur vaut plus que de pouvoir décrire, a posteriori et dans le vocabulaire de MITRE, exactement comment ils se sont déplacés une fois entrés.

La question à poser la prochaine fois

Je n’affirme pas que la détection n’a pas d’importance. La logique du « assume-breach » existe pour de bonnes raisons : la prévention a des failles, et une organisation mature doit pouvoir repérer l’intrus qui parvient malgré tout à entrer. Mais le « assume breach » est discrètement devenu une licence pour sous-investir dans la non-compromission, et la carte de chaleur de couverture est l’accessoire qui rend cela responsable en apparence.

Alors, la prochaine fois qu’un fournisseur vous montre une matrice MITRE, ne demandez pas combien de techniques il détecte. Demandez lesquelles il prévient, demandez ce qu’il ne peut honnêtement pas faire, et demandez où votre porte d’entrée reste encore ouverte. L’arsenal est restreint et prévisible. Nos défenses devraient commencer là où l’attaquant commence.

Sources

• Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. https://arxiv.org/abs/2401.01865
• Verizon 2025 Data Breach Investigations Report, pour les vecteurs d’accès initial (exploitation de vulnérabilités 20 %, identifiants volés 22 %, hameçonnage environ 15 %) et les chiffres sur le signalement après formation.
• Forrester (2025), analyse des évaluations MITRE ATT&CK 2025, sur le scénario abandonné parce que les actions administratives légitimes et malveillantes ne pouvaient pas être distinguées de manière fiable.
• Mitiga, pour le chiffre indépendant selon lequel les systèmes SIEM traditionnels détectent en moyenne environ 21 % des techniques ATT&CK, et la critique des revendications de « couverture à 100 % » centrées sur les points de terminaison.
• MITRE ATT&CK Evaluations, pour une référence neutre à ce qu’est et n’est pas l’évaluation.