Chapitre 212 minDébutant
Les types de cyberattaques et la chaîne d'attaque
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- nommer les principales cyberattaques et le critère qu'elles touchent ;
- distinguer les sources de risque et leurs motivations ;
- découper une intrusion selon la chaîne d'attaque ;
- placer une défense à chaque étape de l'attaque ;
- repérer une force brute dans un journal.
3 exercices corrigés1 schéma
Une cyberattaque est une action malveillante qui vise un système d'information pour voler, modifier, bloquer ou détruire des données ou des services. Ce chapitre présente qui attaque et pourquoi, les attaques que tu dois savoir nommer, et la chaîne d'étapes qu'un attaquant suit avant d'atteindre son but. Savoir découper une attaque en étapes, c'est savoir où placer les défenses.
Qui attaque, et pourquoi ?
Derrière une attaque, il y a une source de risque (un attaquant) et un objectif. Les identifier aide à prévoir ce qui sera visé.
| Source de risque | Motivation | Exemple de cible chez Soléane |
|---|---|---|
| Groupe cybercriminel | L'argent : rançon, revente de données, fraude au virement | Le serveur de fichiers (rançongiciel), la comptabilité (faux RIB) |
| Hacktiviste | Une cause politique ou idéologique, la visibilité | Le site vitrine (défiguration, déni de service) |
| Service de renseignement étranger | L'espionnage, le sabotage, la déstabilisation | Rarement une PME, sauf si elle est fournisseur d'une cible stratégique |
| Concurrent peu scrupuleux | Obtenir des informations commerciales | Les tarifs négociés, le fichier clients |
| Salarié ou ancien salarié malveillant | Vengeance, gain personnel | Les données qu'il connaît et les accès qu'on a oublié de lui retirer |
| Amateur | Le défi, la curiosité | Un service mal protégé trouvé au hasard d'un scan |
L'ANSSI classe les menaces qu'elle observe en grandes familles : la menace à but lucratif (la plus fréquente pour une entreprise ordinaire), l'espionnage, la déstabilisation (défigurations, dénis de service, désinformation) et le sabotage. Retiens qu'une PME n'a pas besoin d'être « intéressante » pour être attaquée : la plupart des attaques lucratives sont opportunistes et visent tous ceux qui ont une faille.
Les menaces ne sont pas toutes malveillantes
La sécurité du SI couvre aussi les incidents sans attaquant. Une analyse de risques sérieuse les compte tous.
| Origine | Exemples |
|---|---|
| Accidentelle | Erreur de manipulation, suppression d'un dossier, mauvaise configuration, mise à jour qui échoue |
| Environnementale ou naturelle | Incendie, dégât des eaux, coupure électrique, panne de climatisation, inondation |
| Malveillante, externe | Rançongiciel, hameçonnage, déni de service, intrusion |
| Malveillante, interne | Vol de données par un salarié, sabotage, abus de droits |
Un incendie de salle serveur détruit la disponibilité aussi sûrement qu'un rançongiciel. Les sauvegardes externalisées protègent contre les deux.
Les principaux types de cyberattaques
| Attaque | Principe | Critère surtout touché |
|---|---|---|
| Hameçonnage (phishing) | Un faux message pousse la victime à cliquer, à ouvrir une pièce jointe ou à saisir ses identifiants (chapitre 5) | C, puis tous |
| Rançongiciel (ransomware) | Un logiciel chiffre les données et une rançon est exigée (chapitre 4) | D, C |
| Fraude au président, faux RIB | Un escroc se fait passer pour un dirigeant ou un fournisseur pour obtenir un virement | I, financier |
| Attaque par force brute | L'attaquant essaie un très grand nombre de mots de passe sur un compte | C |
| Bourrage d'identifiants (credential stuffing) | L'attaquant réutilise des couples identifiant et mot de passe volés sur un autre site | C |
| Déni de service distribué (DDoS) | Des milliers de machines saturent un service de requêtes | D |
| Exploitation d'une vulnérabilité | L'attaquant utilise une faille connue d'un logiciel non mis à jour | Tous |
| Injection SQL, XSS | Une saisie piégée est exécutée par l'application ou le navigateur (injection SQL) | C, I |
| Homme du milieu (man-in-the-middle) | L'attaquant s'intercale entre deux machines, par exemple sur un Wi-Fi public, pour lire ou modifier les échanges | C, I |
| Défiguration | La page d'accueil d'un site est remplacée par un message de l'attaquant | I, image |
| Attaque de la chaîne d'approvisionnement | L'attaquant compromet un fournisseur (logiciel, prestataire) pour atteindre ses clients | Tous |
| Cryptominage clandestin | Un logiciel utilise la puissance des machines pour miner de la cryptomonnaie | D |
Vulnérabilités, CVE et correctifs
Une vulnérabilité est une faiblesse qu'un attaquant peut exploiter : un bug dans un logiciel, un mot de passe par défaut jamais changé, un port ouvert inutilement, un salarié non formé. Les failles logicielles publiques reçoivent un identifiant CVE (Common Vulnerabilities and Exposures), par exemple CVE-2021-44228 pour la faille Log4Shell de la bibliothèque Java Log4j. Leur gravité est notée de 0 à 10 par le score CVSS : à partir de 9, la faille est critique.
Une faille jour zéro (zero-day) est exploitée avant que l'éditeur ait publié un correctif. Elles sont rares et chères ; l'immense majorité des attaques exploitent des failles connues et corrigées, sur des systèmes qui n'ont pas été mis à jour. D'où la règle d'hygiène numéro un : appliquer les correctifs vite, en commençant par les équipements exposés sur Internet (pare-feu, VPN, messagerie, serveurs web).
Le CERT-FR, le centre gouvernemental de veille et de réponse aux incidents rattaché à l'ANSSI, publie des avis (une vulnérabilité et son correctif) et des alertes (une vulnérabilité activement exploitée, à traiter en urgence) sur cert.ssi.gouv.fr. Suivre ces publications fait partie de la veille d'un technicien (chapitre 11 ; les sources de veille).
La chaîne d'attaque : les étapes d'une intrusion
Une attaque ciblée ne se fait pas en un clic. Les modèles de référence (la Cyber Kill Chain de Lockheed Martin, la matrice MITRE ATT&CK) la découpent en étapes. Une version simplifiée en cinq étapes suffit au BTS :
- Reconnaissance. L'attaquant collecte des informations : noms et fonctions des salariés sur les réseaux sociaux, format des adresses électroniques, services exposés sur Internet (un scan de ports révèle un bureau à distance ouvert), versions des logiciels.
- Accès initial. Il entre une première fois : courriel d'hameçonnage avec pièce jointe piégée, identifiants volés réutilisés sur le VPN, faille non corrigée d'un serveur exposé.
- Installation et persistance. Il installe un outil qui lui garantit de revenir : porte dérobée, tâche planifiée, compte créé en douce.
- Élévation de privilèges et déplacement latéral. Depuis le poste compromis, il cherche des mots de passe en mémoire, des partages mal protégés, un compte administrateur ; il rebondit de machine en machine jusqu'au contrôleur de domaine.
- Action sur l'objectif. Il exfiltre les données, chiffre les serveurs, supprime les sauvegardes, ou reste discret pour espionner.
Entre l'accès initial et l'action finale, il s'écoule souvent des jours, voire des semaines. C'est la fenêtre où une bonne détection (journaux, alertes, antivirus de nouvelle génération) permet d'arrêter l'attaque avant le chiffrement.
Défense en profondeur
La chaîne d'attaque justifie un principe central : la défense en profondeur. On empile plusieurs lignes de défense indépendantes, pour qu'une seule défaillance ne suffise pas à l'attaquant.
| Étape de l'attaque | Ligne de défense |
|---|---|
| Reconnaissance | Réduire ce qui est exposé : fermer les ports inutiles, ne pas publier l'organigramme technique |
| Accès initial | Filtrage des courriels, sensibilisation, authentification multifacteur, correctifs sur les services exposés |
| Installation | Antivirus et EDR (Endpoint Detection and Response), comptes utilisateurs sans droits d'administration, liste d'applications autorisées |
| Élévation et déplacement | Cloisonnement du réseau (VLAN, pare-feu interne), comptes d'administration séparés, mots de passe administrateur locaux uniques |
| Action sur l'objectif | Sauvegardes hors ligne, chiffrement des données sensibles, journalisation centralisée et alertes |
Le même raisonnement en SLAM et en SISR
En SLAM, l'extranet de Soléane est la porte d'entrée. Reconnaissance : l'attaquant repère la page de connexion et l'en-tête qui affiche la version du framework. Accès initial : une injection SQL dans le champ de recherche, ou un bourrage d'identifiants sur le formulaire de connexion sans limitation du nombre d'essais. Action : il extrait la table des clients. Les défenses sont dans le code : requêtes préparées, limitation des tentatives, messages d'erreur génériques, mots de passe hachés avec un algorithme lent.
En SISR, la porte d'entrée est l'infrastructure. Reconnaissance : un scan révèle un serveur de bureau à distance (RDP, port 3389) ouvert sur Internet. Accès initial : force brute sur le compte « administrateur ». Déplacement : l'attaquant récupère des identifiants en mémoire et atteint le contrôleur de domaine. Les défenses sont dans l'architecture : pas de RDP exposé (accès par VPN avec MFA), verrouillage des comptes, cloisonnement, journalisation des connexions.
Lire des traces d'attaque dans un journal
Les sujets d'examen donnent souvent un extrait de journal à interpréter. Voici le journal d'accès du serveur web de l'extranet :
203.0.113.45 - - [14/Oct/2026:02:13:01 +0200] "POST /login HTTP/1.1" 401 512
203.0.113.45 - - [14/Oct/2026:02:13:01 +0200] "POST /login HTTP/1.1" 401 512
203.0.113.45 - - [14/Oct/2026:02:13:02 +0200] "POST /login HTTP/1.1" 401 512
... (1 840 lignes identiques en 9 minutes)
203.0.113.45 - - [14/Oct/2026:02:22:47 +0200] "POST /login HTTP/1.1" 302 0
203.0.113.45 - - [14/Oct/2026:02:22:48 +0200] "GET /admin/clients/export HTTP/1.1" 200 3481920
Lecture : une même adresse IP envoie près de 200 tentatives de connexion par minute, toutes refusées (code 401), en pleine nuit. C'est une attaque par force brute ou un bourrage d'identifiants. À 2 h 22, une tentative réussit (302, redirection après connexion), puis l'attaquant télécharge un export d'environ 3,5 Mo de la liste des clients (code 200). La confidentialité est atteinte, et c'est une violation de données personnelles à notifier à la CNIL dans les 72 heures (chapitre 11).
Sous Windows, le même scénario laisse des traces dans le journal de sécurité : l'événement 4625 signale un échec d'ouverture de session, le 4624 une ouverture réussie, le 4740 le verrouillage d'un compte.
Pour aller plus loin. Les traces qu'une attaque laisse et la façon de les rechercher sont détaillées dans les chapitres Indicateurs de compromission et Lire et analyser des logs du cours Réponse à incident.
Exercices
Exercice 1 sur 3 Nommer l'attaque Réussi À revoir
Nomme l'attaque décrite et le critère DICP principalement atteint.
- La comptable reçoit un courriel du « directeur », en déplacement, qui lui demande un virement urgent et confidentiel vers un nouveau compte.
- Le site vitrine affiche un message politique à la place de la page d'accueil.
- Des milliers d'adresses IP différentes envoient des requêtes à l'extranet, qui ne répond plus.
- Un attaquant teste, sur le portail VPN, des couples identifiant et mot de passe issus de la fuite d'un site de jeux en ligne.
- Les postes de l'accueil tournent au ralenti ; un processus inconnu utilise 100 % du processeur en permanence.
Voir la réponseMasquer la réponse de l'exercice 1
- Fraude au président (une forme d'ingénierie sociale) : vise un virement frauduleux, donc une atteinte financière et à l'intégrité du processus de paiement.
- Défiguration : atteinte à l'intégrité du site, et à l'image de Soléane.
- Déni de service distribué (DDoS) : atteinte à la disponibilité.
- Bourrage d'identifiants (credential stuffing) : atteinte à la confidentialité ; il ne réussit que si des salariés réutilisent leurs mots de passe personnels.
- Probablement du cryptominage clandestin : atteinte à la disponibilité (performances), et signe qu'un logiciel malveillant s'est installé.
Tu avais trouvé ?
Exercice 2 sur 3 Placer les défenses sur la chaîne Réussi À revoir
Pour chaque mesure, indique l'étape de la chaîne d'attaque qu'elle bloque ou ralentit.
- Les utilisateurs n'ont pas de droits d'administration sur leur poste.
- Le portail VPN exige un second facteur d'authentification.
- Les sauvegardes sont copiées chaque nuit sur un support déconnecté.
- Le réseau des serveurs est séparé de celui des postes par un pare-feu interne.
- Le serveur web n'affiche plus sa version dans les en-têtes HTTP.
Voir la réponseMasquer la réponse de l'exercice 2
- Installation (et élévation de privilèges) : un logiciel malveillant lancé par l'utilisateur ne peut pas s'installer en profondeur.
- Accès initial : un mot de passe volé ne suffit plus.
- Action sur l'objectif : même si les serveurs sont chiffrés, Soléane peut restaurer sans payer.
- Déplacement latéral : depuis un poste compromis, l'attaquant n'atteint pas directement les serveurs.
- Reconnaissance : l'attaquant ne sait pas immédiatement quelles failles connues tester.
Tu avais trouvé ?
Exercice 3 sur 3 Analyser un journal Windows Réussi À revoir
Le journal de sécurité du contrôleur de domaine montre, pour le compte m.leroy, 10 événements 4625 entre 8 h 02 et 8 h 04 depuis le poste PC-ACC-03, puis un événement 4740. Mme Leroy affirme qu'elle était en réunion.
- Que s'est-il passé ?
- Quel mécanisme a limité les dégâts ?
- Que fais-tu ensuite ?
Voir la réponseMasquer la réponse de l'exercice 3
- Dix échecs d'ouverture de session (4625) en deux minutes sur le compte de Mme Leroy depuis un poste de l'accueil : quelqu'un essaie de deviner son mot de passe, sur place ou via un logiciel malveillant installé sur
PC-ACC-03. - Le verrouillage du compte après 10 échecs, seuil fixé par la stratégie de mots de passe et conforme à la recommandation de la CNIL (événement 4740) : la force brute s'arrête.
- Ne pas se contenter de déverrouiller le compte : vérifier qui utilisait
PC-ACC-03à cette heure, analyser le poste (antivirus, processus, tâches planifiées), consigner l'incident dans l'outil de gestion des tickets et prévenir le responsable de la sécurité. Si le poste est compromis, l'isoler du réseau.
Tu avais trouvé ?