MITRE ATT&CK et recherche d'alertes dans le tableau de bord

MITRE ATT&CK est une base de connaissances publique et gratuite qui décrit, à partir d'attaques réellement observées, ce que font les attaquants : leurs tactiques (les objectifs, comme obtenir un accès ou se maintenir), leurs techniques (les moyens d'y arriver) et les sous-techniques, chacune avec un identifiant comme T1110. Wazuh rattache ses alertes à ces techniques, ce qui permet de lire une attaque comme une suite d'étapes et de mesurer ce que l'on sait détecter. Ce chapitre explique le référentiel, son usage dans Wazuh, et la recherche d'alertes avec des requêtes dans le tableau de bord.

Tactiques, techniques et sous-techniques

ATT&CK est maintenu par MITRE, un organisme américain à but non lucratif, et mis à jour deux fois par an. La version 20, publiée le 13 octobre 2026, est la version en cours. La matrice qui concerne les systèmes d'information d'entreprise (Enterprise) compte 15 tactiques :

Sous chaque tactique, les techniques décrivent un moyen précis. Un identifiant se lit ainsi : T1110 est la technique Brute Force ; T1110.003 est sa sous-technique Password Spraying (pulvérisation de mots de passe). Une même technique peut servir plusieurs tactiques : Valid Accounts (T1078), l'usage d'un compte légitime volé, sert à entrer, à se maintenir, à obtenir des droits et à ne pas être vu.

Les techniques que ce cours rencontre le plus :

Comment Wazuh rattache une alerte à ATT&CK

Chaque règle peut porter une balise <mitre> avec un ou plusieurs identifiants, comme les règles du chapitre 6. Quand elle se déclenche, l'alerte reçoit sous rule.mitre l'identifiant, le nom de la technique et la ou les tactiques, tirés de la base ATT&CK embarquée dans Wazuh.

Deux limites à connaître :

• La base embarquée retarde. Elle suit les mises à jour de Wazuh, pas celles d'ATT&CK. La règle 60117 (journal d'audit Windows effacé) porte T1070.004, File Deletion : une erreur d'étiquette, car l'effacement des journaux Windows était T1070.001 et c'est aujourd'hui T1685.005. Les noms de tactiques affichés peuvent aussi précéder la scission de la version 19. Dans un rapport, vérifie l'identifiant sur le site d'ATT&CK.
• Une étiquette n'est pas une preuve. Une alerte rattachée à T1110 dit « ceci ressemble à de la force brute », pas « une force brute a réussi ». C'est l'analyste qui confirme, en rapprochant les événements.

Le module MITRE ATT&CK du tableau de bord

Threat intelligence > MITRE ATT&CK présente les alertes sous l'angle d'ATT&CK, en quatre onglets :

Lire la matrice Framework comme un récit est le bon réflexe : sur un même agent, dans la même heure, des cases allumées en Credential Access (force brute), puis Persistence (compte créé), puis Privilege Escalation (groupe d'administration modifié), puis Defense Impairment (journal effacé), racontent une intrusion qui progresse. Chaque alerte seule pourrait passer pour du bruit ; leur enchaînement, non.

Chercher dans les alertes

Pour une enquête, on part des alertes et on filtre. Threat intelligence > Threat Hunting donne accès à toutes les alertes, avec leurs graphiques et leur liste détaillée (onglet des événements), une barre de recherche, des filtres et un sélecteur de période en haut à droite. La barre de recherche accepte le langage de requête du tableau de bord (DQL, Dashboards Query Language) :

and, or et not combinent les conditions, les parenthèses les regroupent, * remplace une fin de valeur. Clique sur une alerte pour voir tous ses champs ; le bouton de filtre à côté d'une valeur l'ajoute à la recherche en un clic (« seulement cette adresse », « sauf cet agent »). Une recherche utile s'enregistre pour la retrouver lors de la prochaine enquête.

Mesurer ce que tu sais détecter

ATT&CK sert aussi à répondre à une question que la direction posera un jour : « contre quoi sommes-nous protégés ? ». On liste les techniques les plus probables pour l'organisation et, pour chacune, la source et la règle qui la détectent :

Chaque « Non » est une décision à prendre : ajouter une source, écrire une règle, ou accepter le risque en le documentant. MITRE propose un outil web gratuit, ATT&CK Navigator, pour colorier la matrice selon la couverture : un bon support à présenter à un jury ou à une direction.

Exercices

Exercice 1 sur 3 Associer des événements à ATT&CK Réussi À revoir

Pour chaque événement, donne la tactique et la technique ATT&CK (nom et identifiant), avec les tableaux de ce chapitre.

1. 2 000 événements 4625 en dix minutes depuis 192.168.10.71, chacun sur un compte différent, un ou deux essais par compte.
2. Un 7045 sur srv-gestion : service « UpdaterSvc » installé, programme dans C:\Users\Public\.
3. Un 4104 contenant FromBase64String sur un poste.
4. Un 1102 sur srv-ad2.
5. Une connexion réussie (4624) de type 10 du compte adm1-amercier sur srv-fichiers depuis le poste d'une comptable, à 23 h.

Voir la réponseMasquer la réponse de l'exercice 1

1. Credential Access (TA0006), Password Spraying (T1110.003) : peu d'essais par compte, beaucoup de comptes, une seule source, pour rester sous le seuil de verrouillage.
2. Persistence et Privilege Escalation, Create or Modify System Process: Windows Service (T1543.003). Un service installé depuis un dossier accessible à tous est très suspect.
3. Execution, PowerShell (T1059.001) ; le décodage Base64 relève aussi de Stealth, Command Obfuscation (T1027.010).
4. Defense Impairment (TA0112), Clear Windows Event Logs (T1685.005, anciennement T1070.001).
5. Lateral Movement, Remote Desktop Protocol (T1021.001), avec Valid Accounts (T1078) : un compte d'administration légitime utilisé depuis un poste qui n'est pas un poste d'administration, la nuit. Soit l'administrateur a enfreint la règle (il ne doit administrer que depuis le VLAN 99), soit son mot de passe a été volé.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Écrire des requêtes Réussi À revoir

Écris la requête DQL qui affiche :

1. toutes les alertes de niveau 12 ou plus sur les deux contrôleurs de domaine ;
2. les alertes liées au compte svc-sauvegarde, que l'événement vienne de Windows ou soit une alerte de connexion SSH ;
3. les alertes de contrôle d'intégrité (groupe syscheck) sur srv-web, sauf celles du dossier /var/www/html/cache.

Voir la réponseMasquer la réponse de l'exercice 2

1. rule.level >= 12 and agent.name : (srv-ad or srv-ad2)
2. data.win.eventdata.targetUserName : svc-sauvegarde or data.dstuser : svc-sauvegarde
3. rule.groups : syscheck and agent.name : srv-web and not syscheck.path : /var/www/html/cache*

Pour la 3, si la recherche est fréquente, la bonne solution est d'exclure ce dossier de la surveillance dans la configuration (<ignore>), plutôt que de le filtrer à chaque fois.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Lire une matrice Réussi À revoir

Dans l'onglet Framework, filtré sur l'agent srv-gestion et sur la nuit dernière, tu vois des alertes dans quatre tactiques : Credential Access (02:10 à 02:14), Execution (02:31), Persistence (02:33) et Defense Impairment (02:58). Raconte ce qui s'est probablement passé, et dis par quoi tu commences.

Voir la réponseMasquer la réponse de l'exercice 3

Un récit cohérent d'intrusion : à 2 h 10, des essais de mots de passe (force brute) aboutissent à un accès ; à 2 h 31, l'attaquant exécute du code (un script, un programme) ; à 2 h 33, il s'installe durablement (service ou tâche planifiée, compte créé) ; à 2 h 58, il efface ses traces ou désactive une défense. On commence par confiner : isoler srv-gestion du réseau (sans l'éteindre, pour garder la mémoire), désactiver le compte qui a réussi à se connecter, puis ouvrir chaque alerte, dans l'ordre chronologique, pour identifier la source des essais, le programme exécuté et ce qui a été installé. Les journaux effacés localement à 2 h 58 ont déjà été envoyés à Wazuh. La suite relève de la réponse à incident.

Tu avais trouvé ?

Oui, j'avais bonPas encore