TA0007 Découverte : l’attaquant cherche où il est tombé

Dixième tactique de la matrice ATT&CK Enterprise, et la deuxième plus fournie avec trente-quatre techniques. L’objectif, selon le MITRE : l’adversaire cherche à comprendre votre environnement. La définition précise la fonction : ces techniques l’aident à observer et à s’orienter avant de décider de la suite.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant, et pourquoi c’est sa faiblesse

S’orienter. Un attaquant qui vient d’obtenir un accès ne sait presque rien : il ignore le rôle de la machine, les comptes disponibles, la topologie du réseau, l’existence d’une solution de détection, la localisation des données qui l’intéressent.

Il en découle la propriété la plus utile de toute la matrice pour un défenseur : cette tactique est bruyante. À la différence de la furtivité, qui consiste à ne produire aucun signal, la découverte consiste à poser des questions : au système, à l’annuaire, au réseau, à la plateforme. Chaque question est une opération journalisable, et leur accumulation en peu de temps, depuis un compte qui n’a aucune raison de s’intéresser à tout cela, constitue le motif le plus détectable d’une intrusion en cours.

C’est aussi pourquoi c’est la fenêtre qu’il faut privilégier : la découverte se situe avant le vol de données, souvent plusieurs jours avant. La détecter, c’est intervenir pendant qu’il est encore temps.

Les techniques, et ce qu’elles couvrent

Trente-quatre techniques, qui répondent à cinq questions.

« Sur quelle machine suis-je ? » T1082 (information système), T1016 (configuration réseau du système), T1049 (connexions réseau établies), T1057 (processus en cours), T1007 (services), T1518 (logiciels installés : dont les logiciels de sécurité, ce qui prépare la suite), T1012 (interrogation du registre), T1652 (pilotes), T1120 (périphériques), T1124 (heure système, qui sert à planifier), T1614 (localisation géographique), T1010 (fenêtres d’application ouvertes) et T1673 (machines virtuelles présentes).

« Qui est là ? » T1033 (propriétaire ou utilisateur du système), T1087 (comptes), T1069 (groupes de permissions), T1201 (politique de mots de passe, pour calibrer une attaque sans déclencher de verrouillage) et T1482 (relations d’approbation entre domaines, qui indiquent les chemins vers les autres périmètres). Sur un annuaire mal durci, une partie de ces réponses s’obtient sans aucune authentification, comme le montre énumérer les métadonnées LDAP anonymes d’un domaine Active Directory ; la question du droit effectif, elle, est traitée par auditer l’héritage des permissions.

« Qu’y a-t-il autour ? » T1018 (systèmes distants), T1046 (services réseau : le balayage interne), T1135 (partages réseau) et T1040 (écoute réseau, partagée avec l’accès aux identifiants). C’est à ce stade que la segmentation réseau montre sa valeur : elle ne bloque pas la question, elle réduit le nombre de réponses.

« Où sont les données, et la plateforme ? » T1083 (fichiers et répertoires), T1680 (stockage local), T1217 (information du navigateur, dont l’historique et les mots de passe enregistrés), T1654 (énumération des journaux : pour savoir ce qui a été vu de lui), T1615 (stratégies de groupe), et la série en nuage : T1526 (services en nuage), T1538 (tableau de bord de la plateforme), T1580 (infrastructure), T1619 (objets de stockage) et T1613 (conteneurs et ressources), dont le chemin le plus court passe souvent par le jeton de compte de service monté par défaut.

« Suis-je observé ? » T1497 (évasion de virtualisation et de bac à sable) et T1622 (évasion de débogueur) sont partagées avec la furtivité : avant d’agir, l’attaquant vérifie qu’il n’est pas dans un laboratoire d’analyse.

Ce qu’on peut détecter, et par quoi

C’est la tactique où l’investissement en détection rapporte le plus. Quatre signaux, par ordre de rendement.

La rafale. Un même compte, en quelques minutes, interroge l’annuaire sur les comptes, les groupes, les relations d’approbation et la politique de mots de passe. Chaque requête est banale ; la séquence ne l’est pas. La détection se fait par agrégation sur une fenêtre courte, et c’est l’une des rares règles qui produit peu de faux positifs : à condition d’exclure les outils d’administration légitimes, qui font exactement la même chose, à heures fixes et depuis des postes connus.

Les outils d’énumération. Les utilitaires intégrés au système qui listent les comptes, les partages ou les relations de domaine sont rarement employés interactivement par un utilisateur ordinaire. Leur exécution sur un poste bureautique est un signal franc, et c’est ce que capte la centralisation des journaux Sysmon, à condition de journaliser les lignes de commande complètes.

Le balayage interne. Un poste qui tente de joindre des centaines d’adresses sur quelques ports se voit dans les journaux de flux et dans les refus de la segmentation. Le signal le plus utile n’est pas le balayage lui-même mais les refus : une machine qui se heurte à une politique réseau qu’elle n’a jamais rencontrée fait quelque chose de nouveau.

Les appels au plan de contrôle du nuage. Énumération des objets de stockage, lecture de la configuration, inventaire des rôles : ces appels sont journalisés par la plateforme, et leur volume anormal depuis une identité de charge de travail est l’un des meilleurs indices d’une compromission d’instance, le pendant exact de la détection de persistance IAM.

Ces règles demandent un calibrage, faute de quoi elles noient le centre d’opérations sous l’activité normale des administrateurs : c’est le sujet de calibrer les alertes d’un SIEM sans noyer le SOC. Et comme la découverte est le point de départ naturel d’une recherche d’hypothèse, elle est le terrain de prédilection de la chasse.

Ce que le défenseur peut faire

Réduire le nombre de réponses. C’est l’approche la plus efficace et elle ne relève pas de la détection : annuaire durci qui ne répond pas aux requêtes anonymes, partages réseau inventoriés et restreints, segmentation qui limite ce qu’une machine peut joindre, hiérarchie de ressources en nuage qui cloisonne les périmètres. Un attaquant qui pose les bonnes questions à un environnement cloisonné obtient une carte de son quartier, pas de la ville.

Journaliser les questions. Les requêtes d’énumération d’annuaire, les appels de lecture du plan de contrôle, les lignes de commande des utilitaires système : ces journaux sont volumineux et c’est le prix de la seule fenêtre de détection précoce dont on dispose.

Connaître ses administrateurs. Puisque le signal se distingue mal de l’administration légitime, il faut savoir qui administre, depuis quels postes et à quelles heures. Cette information banale transforme une règle inexploitable en règle précise, et c’est ce que permet la séparation du plan de contrôle et du plan de données.

Semer des pièges. Comptes et partages factices, attrayants et jamais utilisés : toute consultation est, par construction, illégitime. C’est le dispositif de détection au meilleur rapport entre coût et taux de faux positifs, et il est particulièrement adapté à cette tactique, puisque l’attaquant cherche précisément à tout lister.

Sources

TA0007, Discovery, MITRE ATT&CK Enterprise v20 : objectif et trente-quatre techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui ne surveille pas la découverte laisse passer la seule occasion où l’intrusion est bavarde. Dans les cas documentés, plusieurs jours séparent le premier accès du vol des données ; ces jours sont presque entièrement consacrés à l’orientation, et chaque heure produit des événements journalisables. Faute de règle sur ces séquences, l’organisation ne détectera rien avant l’étape suivante : c’est-à-dire avant que les données ne soient parties. Le second coût est structurel : ne pas raisonner sur cette tactique conduit à laisser l’environnement répondre à toutes les questions. Un annuaire qui livre la liste de ses comptes à un anonyme, un réseau plat où chaque machine joint toutes les autres, des partages ouverts « pour que ça marche » : l’attaquant obtient en une heure une cartographie que l’équipe interne n’a jamais possédée, et c’est souvent la phrase qui revient en réunion de crise : « il connaissait mieux notre réseau que nous ».

🦫 Explication de la marmotte 🍫

Un attaquant qui vient d’entrer dans un système informatique ne sait presque rien. Il a obtenu l’accès à une machine, mais il ignore à quoi elle sert, qui travaille dans cette organisation, quelles autres machines existent, où sont rangés les documents intéressants, et s’il y a un logiciel de surveillance installé.

Il doit donc poser des questions : lister les comptes, afficher la configuration du réseau, énumérer les dossiers partagés, consulter la liste des groupes et des droits, repérer les logiciels de sécurité en place. C’est l’étape appelée découverte.

Et c’est la bonne nouvelle de cette histoire, car c’est le moment où il est le plus visible. Se cacher consiste à ne rien faire de remarquable ; s’orienter consiste au contraire à multiplier les demandes. Chacune de ces demandes, prise séparément, est parfaitement banale : un administrateur en fait autant chaque matin. Mais trente demandes de ce genre en dix minutes, depuis le poste d’une personne de la comptabilité, ne ressemblent à rien de normal.

Cette étape se situe généralement plusieurs jours avant le vol des données. La repérer, c’est donc intervenir avant le dommage, et c’est la raison pour laquelle les équipes de sécurité y consacrent l’essentiel de leurs efforts de détection.

Deux mesures très simples aident beaucoup. La première consiste à réduire les réponses : un annuaire qui refuse de répondre aux inconnus, un réseau découpé en zones, des dossiers partagés inventoriés. L’attaquant pose ses questions, mais obtient peu. La seconde consiste à poser des pièges : créer un compte ou un dossier partagé qui a l’air précieux et que personne n’utilise jamais. Quiconque y touche se signale lui-même, sans ambiguïté possible.

Pages voisines

La citent

TA0010 Exfiltration : faire sortir les données

TA0007 Découverte : l'attaquant cherche où il est tombé

Elle cite

: les deux pages se citent l’une l’autre.