TA0001 Accès initial : les onze façons d’entrer

Troisième tactique de la matrice ATT&CK Enterprise, et la première qui touche réellement la victime. L’objectif, selon le MITRE, est d’une concision désarmante : l’adversaire cherche à entrer dans votre réseau.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Obtenir un premier point d’appui (un foothold) dans le réseau. Le MITRE précise que cet appui peut être durable ou non : certaines entrées se referment au redémarrage, d’autres consistent justement en un accès légitime qui n’a aucune raison de se fermer.

C’est la tactique sur laquelle se concentre l’essentiel du budget de sécurité, et c’est à la fois justifié et insuffisant : justifié parce que fermer une porte coûte moins cher que poursuivre un intrus, insuffisant parce que les onze portes ne se ferment pas avec le même outil, et que deux d’entre elles ne se ferment pas du tout, celles qui passent par un tiers de confiance.

Les techniques, et ce qu’elles couvrent

Onze techniques. Quatre familles suffisent à les ranger.

Convaincre quelqu’un. T1566, l’hameçonnage, est la technique d’accès initial la plus documentée dans les intrusions réelles. Elle se décline en sous-techniques selon le vecteur (pièce jointe, lien, service tiers, voix), mais le mécanisme est stable : un message qui obtient de son destinataire une action qu’il n’aurait pas faite autrement. Le site traite le cadrage dans contrer le spear phishing et la fraude au président, et l’essentiel (pourquoi les gens cliquent malgré la formation) dans la page qui porte ce titre. S’y ajoute T1659, l’injection de contenu, où le message piégé n’est pas envoyé mais inséré dans un flux légitime intercepté.

Exploiter un service exposé. T1190 (exploiter une application exposée sur Internet) est la seconde grande voie, et elle ne demande aucune complicité humaine. C’est exactement ce qui s’est produit dans l’affaire Metabase à l’ANSSI et à la Dinum : une injection SQL non authentifiée sur un service dont personne n’avait l’inventaire. T1133 (services distants externes) couvre la variante sans faille : accès par réseau privé virtuel, bureau à distance ou passerelle d’administration, avec des identifiants valides. T1189 (compromission par navigation) retourne la logique : c’est l’utilisateur qui vient, sur un site piégé, d’où l’intérêt de la question des extensions de navigateur en entreprise.

Utiliser un accès légitime. T1078, les comptes valides, est la technique qui devrait inquiéter le plus, car elle ne produit aucune anomalie technique : l’attaquant se connecte. Les identifiants viennent d’une fuite antérieure, d’un achat, ou de la réutilisation d’un mot de passe ailleurs : c’est le scénario de l’exfiltration à la DGFiP avec des identifiants volés ailleurs. T1199, la relation de confiance, en est la version organisationnelle : on n’entre pas chez vous, on entre chez votre prestataire, qui a un accès chez vous. C’est le chemin de l’affaire Target, et la raison d’être du Zero Trust pour les accès des prestataires.

Passer par le matériel ou la chaîne logistique. T1195, la compromission de la chaîne d’approvisionnement, consiste à altérer ce que la victime installera elle-même : bibliothèque, mise à jour, image de base ; le site y consacre une page de fond et un résumé en une page. T1091 (supports amovibles) et T1200 (ajouts matériels) supposent une présence physique ou un acheminement, et restent d’actualité dans les environnements isolés, où ils sont souvent la seule voie. Enfin T1669 (réseaux Wi-Fi) couvre l’entrée par le sans-fil, sujet traité dans Wi-Fi d’entreprise et sécurité radio.

Ce qu’on peut détecter, et par quoi

C’est la tactique où la détection est la plus rentable, à condition de ne pas se tromper de signal.

Pour l’hameçonnage : les journaux de la passerelle de messagerie (domaines récents, en-têtes d’authentification en échec, pièces jointes actives) et, surtout, le signalement par les utilisateurs, qui reste la détection la plus rapide quand elle est rendue facile et sans conséquence pour celui qui signale. Mener une simulation de phishing interne éthique sert précisément à mesurer ce réflexe, pas à punir.

Pour l’exploitation d’un service exposé : les journaux applicatifs du service lui-même, et non le pare-feu. Une exploitation réussie ressemble à une requête valide ; ce qui se détecte, c’est la suite : un processus enfant inhabituel lancé par le serveur web, une connexion sortante depuis une machine qui n’en émet jamais. C’est le domaine de l’EDR, dont la page dit aussi les angles morts.

Pour les comptes valides : rien, au sens strict. Une connexion légitime ne produit pas d’anomalie. Les seuls signaux sont contextuels : horaire inhabituel, provenance géographique nouvelle, appareil inconnu, et surtout impossibilité de déplacement, deux connexions du même compte depuis deux continents en dix minutes. Ces règles se calibrent, faute de quoi elles noient le centre d’opérations, comme l’explique calibrer les alertes d’un SIEM.

Pour l’accès par un tiers : la surveillance des comptes de prestataires comme population distincte, horaires d’intervention déclarés, durée des sessions, périmètre atteint. C’est le contrôle que l’affaire Target a rendu classique, et qui reste rarement appliqué.

Ce que le défenseur peut faire

Rendre les identifiants volés inutilisables. C’est la mesure de plus fort rendement, puisqu’elle traite la technique la plus discrète : authentification multifacteur résistante à l’hameçonnage sur tout accès externe, et en priorité sur les comptes à privilèges, voir déployer FIDO2 pour les comptes à privilèges. Avec un corollaire souvent oublié : la politique de mot de passe compte moins que la détection de la réutilisation, comme le soutient arrêter de faire changer les mots de passe tous les trois mois.

Tenir l’inventaire de ce qui est exposé. On ne corrige pas un service qu’on ne sait pas en ligne. Cet inventaire, confronté aux correctifs disponibles, est le seul moyen de hiérarchiser : ce que la priorisation par CVSS, EPSS et KEV décrit.

Cadrer les accès des tiers par contrat et par technique. Comptes nominatifs, accès juste-à-temps, périmètre restreint, journalisation côté client : l’accès juste-à-temps et les privilèges temporaires donne la forme technique, les clauses de sécurité d’un contrat fournisseur la forme juridique.

Préparer la messagerie à l’échec. Puisqu’un message piégé finira par passer, le travail consiste à limiter ce qu’il peut déclencher : blocage des types de pièces jointes actives, ouverture des documents en lecture isolée, et navigateur durci. Le reste est une affaire de culture : une organisation où signaler un doute est valorisé détecte en minutes ce qu’une organisation qui blâme découvre en semaines.

Sources

TA0001, Initial Access, MITRE ATT&CK Enterprise v20 : objectif et onze techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui ne raisonne pas par tactique concentre ses défenses sur la porte qu’elle imagine, généralement l’hameçonnage, et laisse les dix autres sans traitement. Le déséquilibre se voit à l’inventaire : des campagnes de sensibilisation tous les trimestres, et aucune liste des services exposés sur Internet ; une politique de mot de passe sévère, et un compte de prestataire partagé qui n’expire jamais. Le coût ne se paie pas au moment de l’entrée mais à celui de l’enquête : quand l’intrusion est découverte, la question « par où sont-ils entrés ? » reste sans réponse, parce que les journaux des portes non surveillées n’existent pas ou ont été écrasés. Faute de point d’entrée identifié, la remédiation se fait au hasard, et l’attaquant qui disposait d’un accès légitime le conserve : puisque rien, dans les mesures prises, ne l’a invalidé.

🦫 Explication de la marmotte 🍫

L’accès initial est l’étape où quelqu’un entre pour la première fois dans le système informatique qu’il a choisi. Le catalogue ATT&CK en recense onze manières.

Les deux plus fréquentes sont faciles à comprendre. La première consiste à convaincre une personne de faire quelque chose : ouvrir une pièce jointe, cliquer sur un lien, taper son mot de passe sur une page qui ressemble à celle de son entreprise. La seconde consiste à exploiter un défaut dans un service accessible depuis Internet (un outil de gestion, un site, un équipement d’accès distant) sans avoir besoin de la complicité de personne.

Mais la plus discrète est la troisième : utiliser un compte valide. L’attaquant ne casse rien, il se connecte avec des identifiants obtenus ailleurs : dans une fuite de données d’un autre service où la même personne utilisait le même mot de passe, ou achetés à un intermédiaire. Du point de vue des journaux informatiques, il ne se passe rien d’anormal : quelqu’un s’est connecté, comme chaque matin.

Deux autres portes méritent d’être connues parce qu’on ne peut pas les fermer soi-même. La première est le prestataire : l’attaquant entre chez une entreprise de maintenance, qui possède un accès légitime chez sa cible. La seconde est la chaîne d’approvisionnement logicielle : il modifie un composant, une mise à jour ou une bibliothèque que la victime installera elle-même, en toute confiance.

La conséquence pratique est qu’aucune mesure unique ne suffit. Former les personnes ne ferme pas un service vulnérable ; corriger les logiciels n’empêche pas l’usage d’un mot de passe volé ; et aucune des deux ne protège de l’accès accordé à un tiers. La mesure de plus grand effet, si l’on ne peut en prendre qu’une, consiste à rendre les mots de passe volés inutilisables seuls, en exigeant un second facteur résistant à l’hameçonnage pour tout accès venu de l’extérieur.

Pages voisines

La citent

TA0001 Accès initial : les onze façons d'entrer

Elle cite

: les deux pages se citent l’une l’autre.