Méthodologie défensive
Threat hunting
Chercher activement un attaquant qui n'a déclenché aucune alerte. On part du principe que la compromission a peut-être déjà eu lieu, et on le vérifie avec méthode.
DéfensifHypothèsesMITRE ATT&CKPyramid of Pain
La boucle de chasse
- HypothèseUne supposition testable, fondée sur une menace réaliste.
- DonnéesQuelles sources permettent de la vérifier ? Sont-elles disponibles ?
- InvestigationRequêtes, regroupements, recherche des valeurs rares.
- RésultatConfirmée : on passe en réponse à incident. Infirmée : on documente.
- AméliorationTransformer la chasse en règle de détection automatique.
Écrire une bonne hypothèse
Une hypothèse utile est précise, s'appuie sur une technique connue et indique où chercher.
Trop vague
« Il y a peut-être un attaquant sur le réseau. »
Exploitable
« Un attaquant a pu établir une persistance par tâche planifiée (T1053.005) sur les serveurs. On cherche les événements 4698 créés hors des fenêtres de maintenance. »
D'où viennent les hypothèses
- Renseignement sur la menace : rapports sur les groupes qui ciblent ton secteur.
- MITRE ATT&CK : techniques mal couvertes par les détections actuelles.
- Incidents passés et retours d'expérience.
- Connaissance de l'environnement : actifs critiques, accès sensibles.
Techniques d'analyse
| Technique | Principe |
|---|---|
| Stacking (comptage) | Regrouper et compter : ce qui n'apparaît qu'une ou deux fois sur tout le parc mérite un regard. |
| Base de référence | Comparer l'activité actuelle au comportement habituel. |
| Pivot | Partir d'un indicateur (IP, hash, compte) et suivre ses liens. |
| Chronologie | Replacer les événements dans le temps autour d'un point suspect. |
IOC, IOA et la Pyramid of Pain
Un IOC (indicateur de compromission) est une trace laissée : hash, IP, domaine. Un IOA (indicateur d'attaque) décrit un comportement. Plus on détecte haut dans la pyramide, plus l'attaquant doit travailler pour nous échapper.
| Niveau | Exemple | Coût pour l'attaquant |
|---|---|---|
| TTP | Comportement : accès à la mémoire de lsass | Très élevé |
| Outils | Un outil précis | Élevé |
| Artefacts réseau / hôte | User-Agent, clé de registre, nom de tube | Moyen |
| Noms de domaine | Domaine du serveur C2 | Faible |
| Adresses IP | IP du serveur C2 | Très faible |
| Hash | SHA-256 d'un fichier | Trivial |
Idées de chasses
- Processus lancés depuis des dossiers temporaires ou de profil utilisateur
- Binaires Windows légitimes utilisés de façon inhabituelle (LOLBins)
- Connexions sortantes régulières vers une destination rare (balises)
- Services et tâches planifiées créés récemment
- Comptes qui se connectent à un nombre anormal de machines
- Requêtes DNS vers des domaines très récents ou à forte entropie
- Ouvertures de session hors des horaires habituels