![\"La](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-2491917805-1-300x100.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
La surface d\u2019attaque d\u00e9signe l\u2019ensemble des risques de cybers\u00e9curit\u00e9 auxquels une entreprise ou organisation peut \u00eatre expos\u00e9e. Elle est (bien souvent) tr\u00e8s large et entra\u00eene le fait qu\u2019une cyberattaque puisse survenir de presque n\u2019importe o\u00f9. C\u2019est pourquoi, pour pouvoir anticiper la menace et mettre en place des contre-mesures, une m\u00e9thode de mod\u00e9lisation des cyberattaques a vu le jour d\u00e8s 2011\u00a0: la Kill Chain.<\/strong><\/p>\n Issue d\u2019un concept militaire pour identifier la structure d\u2019une attaque, la Kill Chain offre un cadre permettant de mieux appr\u00e9hender les cyberattaques et surtout les modes op\u00e9ratoires des cyber-criminels. Comment fonctionne la Kill Chain\u00a0? Quelles sont ses \u00e9tapes\u00a0? Comment le mod\u00e8le a-t-il \u00e9volu\u00e9\u00a0? Et pourquoi la Kill Chain reste-t-elle un indispensable de la cyber-protection\u00a0? Explications et d\u00e9cryptage dans cet article.<\/p>\n <\/p>\n D\u00e9velopp\u00e9e en 2011 dans un livre blanc sign\u00e9 Lockheed Martin<\/a>, entreprise am\u00e9ricaine sp\u00e9cialis\u00e9e dans l'a\u00e9rospatiale et la d\u00e9fense, la Kill Chain a \u00e9t\u00e9 d\u00e9velopp\u00e9e comme un cadre d\u2019analyse pour d\u00e9composer et appr\u00e9hender les diff\u00e9rentes \u00e9tapes d\u2019une cyberattaque.<\/strong> Un cadre de pr\u00e9vention initialement d\u00e9velopp\u00e9 pour tenter d\u2019endiguer les tentatives d\u2019intrusions sur les r\u00e9seaux informatiques de menaces persistantes avanc\u00e9es (APT), d\u2019o\u00f9 le premier nom connu d\u2019Intrusion Kill Chain. Par la suite, le mod\u00e8le de Cyber Kill Chain sera adopt\u00e9.<\/p>\n Un mod\u00e8le de Kill Chain qui repose donc sur l'id\u00e9e qu'une cyberattaque doit franchir sept phases cons\u00e9cutives pour r\u00e9ussir son action, de la phase de reconnaissance jusqu\u2019\u00e0 l\u2019\u00e9tape d\u2019exfiltration des donn\u00e9es. L'id\u00e9e sous-jacente derri\u00e8re ce mod\u00e8le est qu'en rompant un maillon de cette cha\u00eene, il devient alors possible de contrecarrer la cyberattaque.<\/strong><\/p>\n \u00a0<\/strong>Les sept \u00e9tapes de la Kill Chain<\/a> sont les suivantes\u00a0:<\/p>\n Certains mod\u00e8les de Kill Chain int\u00e8grent \u00e9galement une huiti\u00e8me \u00e9tape, de mon\u00e9tisation<\/strong>, au cours de laquelle les cyber-criminels cherchent \u00e0 r\u00e9cup\u00e9rer de l\u2019argent, \u00e0 partir des ransomwares d\u00e9ploy\u00e9s pr\u00e9c\u00e9demment ou en revendant des informations vol\u00e9es. En parall\u00e8le, le mod\u00e8le th\u00e9orique traditionnel ne d\u00e9taille pas le fait que des groupes diff\u00e9rents peuvent intervenir lors de ces sept \u00e9tapes. Or, tous les groupes de cyber-criminels n\u2019utilisent pas l\u2019ensemble de ces \u00e9tapes. Avec la professionnalisation des groupes de cyber-criminels et l\u2019av\u00e8nement d\u2019une \u00e9conomie de la vuln\u00e9rabilit\u00e9<\/a>, certains ach\u00e8teront par exemple un acc\u00e8s initial aupr\u00e8s d\u2019un autre groupe et d\u00e9buteront alors leur action seulement \u00e0 partir de la troisi\u00e8me \u00e9tape. Toutes ces particularit\u00e9s demandent alors de faire \u00e9voluer le mod\u00e8le et qui fait na\u00eetre des versions alternatives \u00e0 la Kill Chain.<\/p>\n <\/p>\n Si le mod\u00e8le Kill Chain \u00e9tait (et reste) un moyen efficace de d\u00e9composer les cyberattaques en phases s\u00e9quentielles, il conna\u00eet certaines limites face \u00e0 des modes op\u00e9ratoires modernes, dynamiques, qui peuvent sauter ou r\u00e9p\u00e9ter certaines de ces \u00e9tapes.<\/strong> Son utilisation reste th\u00e9orique et peut se r\u00e9v\u00e9ler moins efficace contre les attaques complexes qui feraient appel \u00e0 des actions de d\u00e9sinformation, de fraude ou d\u2019ing\u00e9rence \u2013 voire des menaces internes. C'est pour r\u00e9pondre \u00e0 ces limitations de lin\u00e9arit\u00e9 et de granularit\u00e9 que de nouveaux r\u00e9f\u00e9rentiels sont apparus.<\/p>\n L\u2019un des plus r\u00e9pandus est le framework MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge<\/em>) qui se d\u00e9compose sous la forme d\u2019un r\u00e9f\u00e9rentiel de donn\u00e9es exhaustif<\/a> des tactiques et techniques utilis\u00e9es par les cyber-criminels au travers des diff\u00e9rentes phases qui composent une attaque. Contrairement \u00e0 la Kill Chain qui se concentre principalement sur les \u00e9tapes d'une attaque, le r\u00e9f\u00e9rentiel MITRE ATT&CK fournit un aper\u00e7u d\u00e9taill\u00e9 des comportements sp\u00e9cifiques d'attaque, ce qui aide \u00e0 une meilleure compr\u00e9hension et simulation des attaques.<\/strong> Si la reconnaissance est l\u2019une des sept \u00e9tapes de la Kill Chain, elle est l\u2019une des\u2026 quatorze \u00e9tapes du MITRE ATT&CK. Un mod\u00e8le dynamique, plus adapt\u00e9 pour les organisations cherchant \u00e0 r\u00e9aliser des \u00e9valuations de s\u00e9curit\u00e9 plus granulaires et \u00e0 am\u00e9liorer leur posture de cybers\u00e9curit\u00e9 de mani\u00e8re proactive. Les \u00e9quipes SOC et CSIRT font \u00e9galement appel \u00e0 ce r\u00e9f\u00e9rentiel pour comprendre les cyberattaques auxquelles elles font face et comment r\u00e9agir efficacement. D\u2019o\u00f9 l\u2019importance pour les op\u00e9rateurs SOC et les \u00e9diteurs de solutions d\u2019associer facilement les diff\u00e9rents logs d\u2019alertes \u00e9mis \u00e0 un \u00e9l\u00e9ment du r\u00e9f\u00e9rentiel MITRE ATT&CK et ainsi pouvoir d\u00e9rouler plus efficacement la r\u00e9ponse initiale.<\/p>\n Fruit d\u2019une fusion entre les deux approches, la Unified Kill Chain a \u00e9t\u00e9 d\u00e9velopp\u00e9e gr\u00e2ce \u00e0 une approche de recherche hybride,<\/strong> \u00ab\u00a0combinant la science de la conception et les m\u00e9thodes de recherche qualitative<\/em>\u00a0\u00bb. Telle que d\u00e9finie sur son site internet d\u00e9di\u00e9<\/a>, ce r\u00e9f\u00e9rentiel comporte 18 phases, d\u00e9coup\u00e9es en trois grandes \u00e9tapes\u00a0: \u00ab\u00a0In\u00a0\u00bb (\u00e9tape d\u2019acc\u00e8s initial), \u00ab\u00a0Through\u00a0\u00bb (\u00e9tape de prise de contr\u00f4le de la cible), et \u00ab\u00a0Out\u00a0\u00bb (\u00e9tape de r\u00e9alisation des objectifs).<\/p>\n Pour compl\u00e9ter la Kill Chain originelle, Ben Nimmo et Eric Hutchins de l\u2019entreprise Meta ont propos\u00e9 un nouveau r\u00e9f\u00e9rentiel<\/a>\u00a0: l'Online Operations Kill Chain. Cette nouvelle approche int\u00e8gre les comportements malveillants en ligne,<\/strong> comme l\u2019espionnage, la d\u00e9sinformation, les fraudes et plus encore. Cette nouveau r\u00e9f\u00e9rentiel s'articule autour de dix phases<\/a>, couvrant des activit\u00e9s telles que l'acquisition d'actifs et leur d\u00e9guisement, la collecte d'informations, la coordination ou encore le test des d\u00e9fenses.<\/p>\n D'autres r\u00e9f\u00e9rentiels plus sp\u00e9cifiques \u00e0 certains secteurs ont vu le jour, \u00e0 l\u2019image du framework Cyber Fraud Kill Chain<\/strong>, d\u00e9velopp\u00e9 par la soci\u00e9t\u00e9 Optiv pour r\u00e9pondre aux cyberattaques contre les institutions financi\u00e8res.<\/p>\n <\/p>\n Avec tous ces frameworks alternatifs, la Kill Chain reste plus que jamais un outil indispensable pour assurer la cybers\u00e9curit\u00e9 des entreprises et des organisations. Un outil sur lequel s\u2019appuient aussi les \u00e9quipes de Cyber Threat Intelligence<\/a>, tant pour \u00e9tudier les menaces cyber et les comprendre que pour am\u00e9liorer en continu les protections des produits de cybers\u00e9curit\u00e9.<\/p>\n En d\u00e9tectant d\u00e8s les premi\u00e8res \u00e9tapes la tentative de compromission, impl\u00e9menter une strat\u00e9gie de protection des terminaux permet d\u2019endiguer la cyberattaque avant qu\u2019elle n\u2019arrive \u00e0 sa phase finale. Pour vous prot\u00e9ger au quotidien, vous pouvez donc faire appel \u00e0 des solutions de protection des terminaux.<\/strong> Les solutions de d\u00e9tection et de r\u00e9ponse (Endpoint Detection & Response<\/em> \u2013 EDR<\/a>) sont une premi\u00e8re r\u00e9ponse pour prot\u00e9ger les terminaux, que viennent compl\u00e9ter les solutions de d\u00e9tection et de r\u00e9ponse \u00e9largie (eXtended Detection & Response<\/em> \u2013 XDR<\/a>). Ces derni\u00e8res viennent agr\u00e9ger et analyser l\u2019ensemble des donn\u00e9es de vos actifs pr\u00e9sents sur votre infrastructure (r\u00e9seaux, terminaux, etc). En d\u00e9tectant les tentatives de connexion (reconnaissance), en identifiant les t\u00e9l\u00e9chargements de fichiers sur la machine et en utilisant un bac \u00e0 sable pour analyser les fichiers<\/a> (exploitation) ou encore en analysant le trafic r\u00e9seau sortant (commande et contr\u00f4le), ces solutions peuvent d\u00e9tecter la menace sur les diff\u00e9rentes \u00e9tapes de la Kill Chain.<\/p>\n Et pour aller plus loin dans votre strat\u00e9gie de s\u00e9curit\u00e9, vous pouvez impl\u00e9menter des solutions de firewalls et de d\u00e9tection des intrusions<\/strong>. D\u00e9tection et pr\u00e9vention des exploitations de vuln\u00e9rabilit\u00e9s, s\u00e9curit\u00e9 Web \u00e0 travers du filtrage d'URL ainsi que d'IP et de domaines, ou encore segmentation du r\u00e9seau\u00a0; les solutions de protection r\u00e9seau<\/a> vous apportent protection, contr\u00f4le et performances sur les diff\u00e9rentes phases du mod\u00e8le de la Kill Chain.<\/p>\n <\/p>\nC\u2019est quoi la Kill Chain\u00a0?<\/h2>\n
\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/intrusion-kill-chain-v2.png\")
<\/a><\/p>\nUn mod\u00e8le de Kill Chain qui \u00e9volue<\/h2>\n
![\"\"](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/the-unified-kill-chain-300x95.png\")
<\/a><\/p>\nKill Chain, un outil indispensable pour la cyber-protection<\/h2>\n