Cyber Kill Chain (chaine d'attaque)

La Cyber Kill Chain est l'un des cadres les plus influents de la securite defensive, car elle reconçoit une attaque non comme un evenement unique, mais comme un processus dont les maillons peuvent etre brises. Creee par Lockheed Martin, elle decrit une intrusion en sept etapes sequentielles, et son idee centrale est que l'attaquant doit franchir toutes les etapes pour l'emporter. Le defenseur n'a besoin d'en briser qu'une seule. Cette asymetrie, enfin en faveur du defenseur, explique pourquoi le modele a façonne la strategie de detection, le renseignement sur les menaces et la reponse a incident depuis plus d'une decennie.

Les sept etapes

Le modele parcourt une attaque de l'exterieur vers l'interieur :

Plus le defenseur detecte tot l'activite, plus la reponse est economique et sure. Arreter un courriel d'hameçonnage a la livraison ne coute presque rien ; arreter l'attaquant aux actions sur l'objectif signifie que la breche a deja eu lieu.

Kill Chain face a MITRE ATT&CK

La kill chain est volontairement simple, ce qui constitue a la fois sa force et sa limite. Elle indique a quelle phase se trouve une attaque, mais pas comment l'attaquant se comporte dans cette phase. C'est la qu'intervient MITRE ATT&CK. La ou la kill chain est une sequence lineaire d'etapes, MITRE ATT&CK est une matrice de tactiques et techniques concretes tirees du comportement reel observe des adversaires.

Reconnaissance

→puis

Livraison et exploitation

→puis

C2 et mouvement lateral

→puis

Actions sur l'objectif

Un flux de travail pratique utilise les deux : la kill chain pour raconter a la direction l'histoire generale d'une intrusion, et la matrice ATT&CK pour rattacher chaque etape a des techniques precises afin que l'equipe de detection sache exactement quoi traquer. Ils sont complementaires, et non concurrents.

Pourquoi le modele est sous pression

La kill chain d'origine suppose une intrusion assez lineaire, au rythme humain. Les attaques modernes se comportent rarement de façon aussi nette. Les attaquants les plus dangereux, dopes par l'IA, enchainent desormais des kill chains entieres de maniere autonome, executant reconnaissance, exploitation et mouvement lateral dans des boucles tres serrees avec peu d'intervention humaine, comme nous le documentons dans notre analyse de comment les pirates utilisent l'IA. Quand une seule machine comprime des jours de travail manuel en quelques minutes, la confortable economie du "briser un maillon" commence a s'eroder.

La leçon demeure, meme si la menace evolue : toute attaque est une chaine d'etapes dependantes, et la securite est la discipline qui consiste a trouver le maillon le plus faible et a le briser en premier. Maitrisez la kill chain, superposez MITRE ATT&CK par-dessus, et vous disposerez d'un langage commun pour decrire, detecter et vaincre les intrusions avant qu'elles n'atteignent leur but.