Comment structureriez-vous une chasse aux menaces basée sur les TTP avec MITRE ATT&CK, et qu'est-ce qui fait une bonne chasse ?
Réponse courte
La chasse basée sur les TTP utilise MITRE ATT&CK comme carte : choisissez une technique pertinente pour votre modèle de menace (idéalement à faible couverture), formez une hypothèse concrète sur la façon dont elle apparaîtrait dans votre télémétrie, identifiez les sources de données qui la révèlent, interrogez-les et analysez les résultats. Une bonne chasse est délimitée, guidée par des hypothèses, liée à un comportement réel d'adversaire, reproductible, et produit un résultat durable — une nouvelle détection, une lacune de couverture documentée, ou la preuve que la technique est absente — qu'elle trouve ou non une compromission.
La chasse basée sur les TTP inverse la logique : au lieu de poursuivre des indicateurs, on poursuit des comportements. MITRE ATT&CK vous offre un catalogue partagé et structuré de la façon dont les adversaires opèrent, et vous l'utilisez à la fois comme liste de cibles et comme carte de couverture.
Structurer la chasse
- Sélectionner une technique — choisissez dans ATT&CK selon votre modèle de menace : techniques employées par des groupes ciblant votre secteur, ou celles où ATT&CK Navigator montre une faible couverture de détection.
- Former une hypothèse — rendez-la testable et spécifique à l'environnement : « Si un adversaire utilisait T1003, le vol d'identifiants LSASS, ici, je verrais des processus non système ouvrir un handle vers lsass.exe. »
- Mapper à la télémétrie — identifiez les sources de données exactes (accès aux processus, ligne de commande, chargement de module) qui la révéleraient, et confirmez que vous les collectez.
- Interroger et analyser — exécutez la recherche, puis séparez le vrai signal de l'activité bénigne avec le contexte (processus parent, signataire, utilisateur).
- Documenter et opérationnaliser — consignez la méthode et les résultats ; transformez le comportement confirmé en règle Sigma et mettez à jour votre carte de couverture.
Ce qui fait une bonne chasse
Une bonne chasse est délimitée (une question claire, pas « trouver le mal »), guidée par des hypothèses, ancrée dans un comportement réel d'adversaire, reproductible et productive — elle laisse derrière elle une détection, une lacune documentée, ou une confiance justifiée que la technique est absente. Ne trouver aucune compromission est un résultat valide et utile.
Pourquoi c'est important
Les recruteurs seniors recherchent une structure pilotée par ATT&CK, une hypothèse falsifiable, un mappage de télémétrie et un résultat durable. « Je fouine juste dans le SIEM à la recherche de trucs bizarres » signale une approche immature et non reproductible.
Questions de suivi probables
- Comment priorisez-vous quelle technique ATT&CK chasser en premier ?
- Qu'apporte une heatmap de couverture ATT&CK Navigator à un programme de chasse ?
- Pourquoi une chasse reproductible et documentée vaut-elle mieux qu'une chasse ad hoc ?