Intégrer MITRE ATT&CK aux flux de menaces en temps réel

Nous avons évoqué l'importance de MITRE ATT&CK pour la stratégie et de la threat intelligence pour la connaissance de la menace en temps réel. Tout l'intérêt apparaît lorsque l'on combine les deux.

Le fossé

Bien souvent, les flux de menaces (IP, domaines, hashs) et le cadre ATT&CK (TTP) vivent dans des silos séparés.

Les flux sont tactiques et éphémères.
ATT&CK est stratégique et comportemental.

Combler le fossé

Intégrer ces deux univers permet de répondre à la question : « Cette adresse IP précise est associée à quel comportement adverse ? »

Comment cela fonctionne

Flux attribués : utilisez des flux de menaces qui fournissent une attribution (par exemple, « cette IP est un serveur C2 d'APT29 »).
Correspondance avec les techniques : puisque l'on sait qu'APT29 emploie des techniques spécifiques (par exemple T1086 PowerShell), on peut en déduire que l'activité issue de cette IP est susceptible de mettre en œuvre ces techniques.
Défense dynamique : si un flux signale une recrudescence du « Credential Dumping » (T1003) dans votre secteur, vous pouvez automatiquement prioriser dans votre SIEM les alertes liées à cette technique.

Les bénéfices de l'intégration

Alertes contextualisées : « Connexion bloquée vers une IP malveillante » devient « Connexion bloquée vers un groupe de ransomware connu exploitant SMB ».
Chasse proactive : exploitez les données des flux pour formuler des hypothèses de threat hunting fondées sur les techniques associées.

Conclusion

En reliant vos flux en temps réel à la matrice MITRE ATT&CK, vous transformez des données brutes en renseignement comportemental précis, ce qui permet à votre SOC de se défendre contre l'adversaire lui-même, et non plus seulement contre son infrastructure.