Les 20 comportements les plus courants des pirates informatiques
Lorsque le classement « OWASP Top 20 » des vulnérabilités a été publié pour la première fois, il a révolutionné l'approche de notre secteur en matière de gestion des vulnérabilités. Au lieu de jouer au « jeu du chat et de la souris » avec des milliers de vulnérabilités individuelles chaque fois qu'une nouvelle était découverte, nous avons abordé la gestion des vulnérabilités en nous concentrant principalement sur ces 20 techniques principales.
Encore considérée comme "avancée", la détection comportementale commence tout juste à se généraliser. Mais, comme le confirment continuellement les cas de réponse aux incidents (RI) que nous prenons en charge, l'adoption est encore à la traîne pour 90 % du marché des PME. Il n'est plus du tout controversé d'affirmer que, pour détecter et arrêter les attaques modernes, les organisations doivent disposer de capacités de surveillance comportementale, en particulier sur le point d'extrémité.
L'un des problèmes est qu'on nous a fait croire que si nous adoptons la détection comportementale, nous devons investir massivement pour couvrir au mieux l'ensemble des comportements des attaquants. C'est une idée fausse.
Notre intention en matière de détection au sein de la plupart des organisations (c'est-à-dire celles qui ne disposent pas d'une équipe d'intelligence des menaces à plein temps) devrait être d'arrêter de se concentrer sur les nouvelles techniques d'attaque individuelles et de concentrer les défenses contre les 20 techniques d'ATT&CK les plus couramment observées qui sont également réalisables à surveiller. Ce sont ces techniques qui comptent vraiment et qui permettront d'attraper plus de malfaiteurs, plus souvent.
La liste suivante est consolidée à partir de nos propres données et recoupée avec divers rapports forensiques sur les attaques observées au cours des dernières années :
LES 20 TECHNIQUES LES PLUS UTILISÉES PAR LES ADVERSAIRES :
| Rang | Tactique | Id | Technique |
| 1 | Exécution | T1059 | Interface de ligne de commande / Powershell |
| 2 | Accès initial | T1078 | Utilisation abusive d'un compte valide |
| 3 | Découverte | T1082 | Découverte d'informations sur le système |
| 4 | Persistance | T1060 | Clés d'exécution du registre |
| 5 | Accès aux justificatifs | T1003 | Dumping d'informations d'identification |
| 6 | Mouvement latéral | T1021 | Services à distance |
| 7 | Exécution | T1055 | Injection de processus |
| 8 | Persistance | T1053 | Tâches planifiées |
| 9 | Evasion défensive | T1218 | Exécution de mandataires binaires signés |
| 10 | Persistance | T1547 | Exécution du démarrage automatique (notamment modification des raccourcis) |
| 11 | Exécution | T1047 | Windows Management Instrumentation (WMI) |
| 12 | Défense Evasion | T1036 | Mascarade |
| 13 | Escalade de privilèges | T1574 | Flux d'exécution du détournement |
| 14 | Défense Evasion | T1027 | Fichiers ou informations obfusqués |
| 15 | Défense Evasion | T1497 | Virtualisation/évasion de la sandbox |
| 16 | Mouvement latéral | T1544 | Copie de fichier à distance |
| 17 | Défense Evasion | T1089 | Désactivation des outils de sécurité |
| 18 | Accès initial | T1190 | Exploiter une application publique |
| 19 | C2 | T1219 | Logiciel d'accès à distance (par exemple RDP) |
| 20 | C2 | T1505 | Webshells |
Lorsqu'il s'agit de ces comportements, commun ne signifie pas commodité ou "moins avancé", ces comportements sont communs parce que les attaquants réussissent à les utiliser pour échapper à la protection/prévention existante. Ce sont les techniques que les acteurs avancés utilisent et elles sont entre les mains des acteurs de commodité grâce à des cadres comme Cobalt Strike.
Ainsi, en renforçant vos capacités de détection contre ces 20 techniques, vous en aurez plus pour votre argent que n'importe quelle autre approche, tout en économisant du temps et de l'argent en chassant les techniques et les comportements "Bluebird" que vous ne verrez probablement pas dans votre réseau.
Le Top 20 est-il suffisant ?
Oui !
Nous intervenons sur de nombreuses attaques et menons des activités de détection proactive des menaces et d'intervention au sein d'organisations de toutes tailles depuis plus d'une décennie. Au cours de cette période, rares ont été les attaques qui ne présentaient pas des comportements correspondant à la liste ci-dessus des 20 éléments que vous pourriez surveiller dès aujourd'hui.
Lorsque SolarWinds Solarigate, alias SUNBURST, a été lancé en décembre 2020, tout le monde a dit qu'il s'agissait d'une nouveauté, et le vecteur d'entrée l'était certainement. Cependant, une fois que l'on a creusé, on a pu observer les mêmes comportements dans le top 20 : La nouvelle vulnérabilité de la chaîne d'approvisionnement a été utilisée pour générer des Powershell malveillants (T1059), des scripts (T1059), des injections de mémoire (T1055), des techniques de mouvement latéral (T1544) et des vidages d'informations d'identification (T1003).
Lorsque Hafnium a touché les serveurs Exchange en utilisant les derniers zero-days Exchange, nous avons constaté les mêmes choses : de nouveaux vecteurs d'entrée inédits conduisant à un grand nombre des 20 mêmes comportements courants tels que les WebShells (T1505), les commandes PowerShell (T1059) et l'injection de Cobalt Strike dans la mémoire (T1055).
Tous ceux qui surveillent efficacement les 20 principaux comportements des attaquants ont eu la visibilité nécessaire pour voir ces attaques se dérouler et je prédis que la prochaine grande vulnérabilité sera découverte en surveillant également ces comportements.
Conclusion
En fin de compte, l’approche du « Top 20 » revient à reconnaître que toutes les techniques ne sont pas indispensables pour déclencher des alertes ou assurer une surveillance visant à détecter les attaques. La « défense en profondeur » reste efficace : chaque tactique et technique que vous pouvez identifier constitue une opportunité de détection dans la chaîne d’attaque, et le « Top 20 » est suffisamment large pour vous protéger même contre certains des attaquants les plus avancés. Nous disposons tous de ressources limitées ; ne cherchez pas à obtenir la couverture la plus large possible et concentrez-vous sur le « Top 20 ». Grâce à ces 20 éléments, très peu d’attaques pourraient échapper à votre vigilance.
