Évasion des Défenses

L'évasion des défenses est l'ensemble des techniques que les attaquants utilisent pour éviter d'être détectés : obscurcir ou encoder du code, désactiver ou altérer les outils de sécurité, et dissimuler des charges malveillantes dans des processus légitimes. Dans le cadre MITRE ATT&CK, c'est la tactique TA0005, et elle est singulière car elle ne décrit pas un objectif unique comme voler des données. Elle enveloppe au contraire presque tout le reste de ce que fait un attaquant, transformant une action bruyante en une action silencieuse.

Pourquoi l'évasion des défenses compte

Chaque autre tactique, du vol d'identifiants au déplacement latéral, devient bien plus dangereuse lorsqu'elle passe inaperçue. Un attaquant qui peut agir sans déclencher d'alerte gagne la ressource qui compte le plus : le temps. C'est pourquoi l'évasion est traitée moins comme une étape optionnelle que comme une exigence de base des intrusions sérieuses.

L'ampleur du phénomène est frappante. Dans l'analyse d'attaques réelles d'Anthropic, l'évasion des défenses a été la tactique la plus utilisée, présente chez 84,4 % des acteurs, ce que vous pouvez lire dans notre décryptage sur comment les hackers utilisent l'IA. Lorsque plus de quatre adversaires sur cinq privilégient la discrétion, la détection devient le problème central de la défense moderne.

Techniques courantes d'évasion des défenses

L'évasion des défenses couvre des dizaines de méthodes distinctes, mais la plupart relèvent de quelques familles reconnaissables.

Ces techniques sont puissantes précisément parce qu'elles s'attaquent aux hypothèses sur lesquelles reposent les défenseurs. Les scanners par signatures supposent que le code malveillant est reconnaissable, et l'obscurcissement brise cette hypothèse. La surveillance suppose que les journaux sont complets, et l'effacement des journaux brise l'autre.

Charge malveillante

→obscurcir

Code encodé ou empaqueté

→injecter

Processus de confiance

→aveugler

Journaux et alertes aveuglés

Détecter et contrer l'évasion

Comme l'évasion s'attaque aux outils qui surveillent les attaques, aucun produit unique ne l'arrête. La réponse défensive consiste à travailler en couches. Les plateformes modernes de détection et réponse sur les terminaux se concentrent sur le comportement plutôt que sur les signatures, en signalant les injections suspectes, l'altération des services de sécurité et les lignes de commande anormales que l'obscurcissement ne peut pas facilement masquer.

Au-delà de la détection automatique, la chasse aux menaces menée par des humains part du principe qu'un acteur évasif est peut-être déjà à l'intérieur et part à la recherche des traces qu'il laisse : journaux effacés, défenses désactivées ou processus démarrant là où il ne devrait pas. La leçon d'une prévalence de 84,4 % est simple. Les défenseurs ne peuvent pas supposer que le silence signifie la sécurité, car les adversaires les plus compétents consacrent leur premier effort à s'assurer que vous n'entendez rien.