L’atelier 4 d’EBIOS RM est l’atelier le plus technique des cinq. C’est aussi celui où la majorité des analyses dérapent : on liste des CVE sans logique d’enchaînement, ou on décrit des kill chains sans cartographier les contrôles existants. La cartographie MITRE ATT&CK change ça. Voici la méthode que nous appliquons sur nos missions depuis 2023, avec les pièges à éviter.

Pourquoi croiser ATT&CK et EBIOS RM

EBIOS RM décrit quoi on craint (les scénarios stratégiques). MITRE ATT&CK décrit comment ça se passe techniquement (les techniques observées en conditions réelles). Le croisement donne trois bénéfices :

  • Réalisme : on ne décrit plus des attaques fantasmées, mais des techniques documentées avec des preuves d’usage (par exemple T1078 « Valid Accounts » utilisée dans 73 % des intrusions selon Mandiant M-Trends 2024).
  • Mesurabilité : chaque technique ATT&CK est rattachable à des contrôles défensifs (D3FEND, ATT&CK Mitigations). La couverture défensive devient quantifiable.
  • Communicabilité : les SOC, le RSSI et le pentester parlent le même langage. La discussion entre EBIOS RM (orienté gouvernance) et la défense opérationnelle devient fluide.

Les 14 tactiques ATT&CK Enterprise

Les 14 tactiques MITRE ATT&CK Enterprise — la kill chain moderne Initial Access Impact TA0043 Reconnaissance TA0042 Resource Dev TA0001 Initial Access TA0002 Execution TA0003 Persistence TA0004 Priv. Escalation TA0005 Defense Evasion TA0006 Credential Access TA0007 Discovery TA0008 Lateral Movement TA0009 Collection TA0011 C&C TA0010 Exfiltration TA0040 Impact Phases EBIOS RM correspondantes : Pré-attaque (atelier 2 : sources, ressources) Compromission initiale (atelier 3 : point d’entrée) Implantation (atelier 4 : montée en privilèges) Propagation latérale (atelier 4 : cheminement réseau) Réalisation de l’objectif (atelier 3 : impact final)
Figure 1 — Les 14 tactiques MITRE ATT&CK et leur correspondance avec les ateliers EBIOS RM.

Méthode de mapping en 4 étapes

  1. Pour chaque scénario stratégique retenu en atelier 3, lister les tactiques traversées (typiquement 5 à 9 tactiques sur les 14).
  2. Pour chaque tactique, identifier 1 à 3 techniques pertinentes au regard de la source de risque et de l’environnement cible. Pas plus, sinon on dilue.
  3. Pour chaque technique, lister les contrôles défensifs existants (ATT&CK Mitigations + contrôles ISO 27001 Annexe A + outils déployés).
  4. Calculer la vraisemblance opérationnelle en estimant la probabilité de blocage à chaque étape. Si une étape clé est bloquée à 95 % (ex. MFA universel sur tous les accès admin), la chaîne s’effondre.

Scénario opérationnel complet de bout en bout

Reprenons le scénario stratégique « cabinet d’avocats / ransomware via prestataire TMA ». Voici sa traduction opérationnelle :

# Tactique Technique Détail Contrôle existant Blocage estimé
1 Reconnaissance T1589.002 Collecte d’emails du prestataire sur LinkedIn Aucun 0 %
2 Initial Access T1566.001 Spear-phishing avec macro Office sur 4 admins TMA Sandbox email + EDR 45 %
3 Execution T1059.001 Exécution PowerShell d’un loader (SystemBC) AppLocker partiel 35 %
4 Persistence T1547.001 Run key registre EDR (détection comportementale) 60 %
5 Credential Access T1003.001 Dump LSASS (Mimikatz) Credential Guard désactivé 10 %
6 Lateral Movement T1021.001 RDP via VPN prestataire → AD du cabinet Pas de MFA sur VPN 15 %
7 Discovery T1018, T1087 Reco AD + partages SMB Aucun 0 %
8 Exfiltration T1567.002 Upload vers MEGA.nz (double extorsion) Proxy avec catégorie « stockage cloud » 40 %
9 Impact T1486 Déploiement du chiffreur sur fichiers + sauvegardes Sauvegardes immuables (Veeam + S3 Object Lock) 75 %

Probabilité globale de blocage de la chaîne = 1 − ∏(1 − P_blocage_étape). Sur cet exemple, malgré les défenses en place, la chaîne reste à ~13 % de probabilité de blocage avant le chiffrement final, ce qui justifie un investissement prioritaire sur Credential Guard, MFA VPN et une refonte du chemin d’accès prestataire.

Construire la heatmap des contrôles

Une fois plusieurs scénarios opérationnels mappés, on agrège les techniques utilisées sur une « heatmap » ATT&CK. Cela montre :

  • les techniques les plus fréquentes dans nos scénarios (généralement T1566, T1078, T1003, T1486)
  • les tactiques sous-couvertes par nos contrôles défensifs (typiquement Discovery et Lateral Movement)
  • les investissements prioritaires qui couvrent le plus de scénarios à la fois
Heatmap simplifiée — couverture défensive par tactique (mission cabinet juridique) Initial Access 45 % Execution 35 % Persistence 60 % Credential Access 10 % Lateral Movement 15 % Exfiltration 40 % Impact 75 % à renforcer urgent urgent solide
Figure 2 — Heatmap de couverture défensive par tactique ATT&CK.

Lecture immédiate : sur cet environnement, les deux investissements prioritaires sont Credential Access (Credential Guard, LAPS, tiering AD) et Lateral Movement (MFA VPN, segmentation, restriction RDP). Tout le reste passe après.

Outillage recommandé

Outil Usage Coût
ATT&CK Navigator Heatmaps, layers, JSON exportable Gratuit (web ou self-hosted)
DeTT&CT Cartographier ses sources de logs vs ATT&CK Gratuit (Python)
Atomic Red Team Tester ses détections technique par technique Gratuit (PowerShell)
Galea Atlas Mapping automatique EBIOS RM × ATT&CK SaaS
MITRE Engenuity Evaluations Comparer la couverture des EDR du marché Gratuit (consultation)

Croiser MITRE ATT&CK et EBIOS RM n’est pas optionnel pour un atelier 4 sérieux. Sans ce croisement, on tombe dans la liste à la Prévert de mesures techniques sans logique d’enchaînement.

À retenir

L’atelier 4 EBIOS RM cartographié sur ATT&CK donne trois choses qu’aucune autre méthode ne donne aussi clairement : un narratif technique cohérent, une mesure objective de la couverture défensive, et une priorisation des investissements basée sur la réalité de la menace. Pour les organisations qui visent la qualification SecNumCloud ou le statut OIV, c’est un attendu implicite des auditeurs.