TA0043 Reconnaissance : ce que l’attaquant apprend avant d’entrer

Première tactique de la matrice ATT&CK Enterprise, et la plus ingrate pour le défenseur : elle se déroule presque entièrement hors de son réseau, donc hors de ses journaux. L’objectif, tel que le formule le MITRE, tient en une phrase : l’adversaire cherche à rassembler de l’information qu’il pourra utiliser pour planifier ses opérations futures.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Préparer le ciblage. L’information recherchée porte sur l’organisation, son infrastructure et son personnel, et elle sert ensuite à choisir le vecteur d’entrée : quel service est exposé, quelle technologie est en place, qui dans l’entreprise a un accès privilégié et répond vite à un courriel.

Il faut souligner une asymétrie que la matrice rend visible : cette tactique et la suivante se déroulent avant tout contact avec le système de la victime, ou avec un contact si anodin qu’il se confond avec le trafic ordinaire. Le défenseur n’y a presque aucune visibilité, et c’est pourquoi la seule stratégie efficace à ce stade n’est pas la détection mais la réduction de la surface d’information.

Les techniques, et ce qu’elles couvrent

Douze techniques composent la tactique. Elles se répartissent en trois familles.

Collecter ce qui est publié. T1593 (recherche sur les sites et domaines ouverts), T1596 (bases de données techniques publiques), T1594 (sites web de la victime elle-même) et T1597 (sources fermées, c’est-à-dire achetées). S’y ajoutent les quatre techniques de collecte ciblée, qui disent précisément ce qui est cherché : T1589 sur les identités du personnel, T1590 sur le réseau, T1591 sur l’organisation, T1592 sur les hôtes. Rien de tout cela ne touche la victime : c’est le travail décrit par le renseignement en sources ouvertes, employé ici dans l’autre sens.

Deux entrées récentes complètent la famille et méritent l’attention : T1681, la consultation des données publiées par les éditeurs de sécurité (un rapport de menace décrit parfois l’infrastructure d’un défenseur avec plus de précision qu’il ne le souhaiterait), et T1682, l’interrogation de services d’intelligence artificielle publics, qui ont la particularité de restituer, agrégée et mise en forme, une information autrement dispersée. Le revers de cette technique concerne directement les organisations : ce que leurs propres employés confient à ces services devient une source, comme le décrit la fuite de secrets dans les prompts.

Sonder. T1595, le balayage actif, est la seule technique de la tactique qui touche réellement la cible : analyse de ports, test de vulnérabilités, parcours de contenus web. C’est donc la seule qui laisse une trace chez le défenseur.

Demander. T1598, l’hameçonnage pour information, consiste à poser la question directement : un faux message qui ne cherche ni identifiant ni pièce jointe exécutable, seulement une réponse : qui gère tel outil, à quelle adresse envoyer une facture, quel est le prestataire informatique. C’est la porte d’entrée de l’ingénierie sociale, dont le site explique pourquoi elle fonctionne malgré la formation.

Ce qu’on peut détecter, et par quoi

Soyons net : l’essentiel de cette tactique est indétectable, et prétendre le contraire conduit à acheter des outils qui surveillent le vent.

Trois signaux restent accessibles.

Le balayage, dans les journaux de bordure. Les requêtes vers des chemins inexistants, les séries de connexions sur des ports fermés et les tentatives de parcours de répertoires apparaissent dans les journaux du pare-feu applicatif et du serveur web. Elles sont si fréquentes qu’elles constituent un bruit de fond permanent : leur valeur n’est pas dans l’alerte unitaire mais dans la variation, un balayage ciblé, lent, portant précisément sur les technologies qu’on emploie, se distingue du balayage industriel d’Internet. Repérer un moissonnage applicatif décrit la méthode : volumétrie, cadence, origine.

Les demandes d’information inhabituelles. Un message qui cherche à savoir qui fait quoi dans l’organisation ne contient ni lien ni pièce jointe, donc passe tous les filtres techniques. Le signalement humain est ici la seule détection, ce qui suppose d’avoir appris aux équipes qu’une question est un signal : et de ne pas les culpabiliser quand elles répondent, comme le rappelle former contre le phishing sans culpabiliser.

L’exposition inattendue. Ce n’est pas de la détection d’attaque mais de la détection de ce qui est trouvable : inventaire de sa propre surface exposée, recherche de ses propres secrets dans les dépôts publics, relevé des sous-domaines oubliés. L’affaire des panneaux d’opérations offensives exposés sur Internet montre que ce travail vaut dans les deux sens.

Ce que le défenseur peut faire

Réduire ce qui est publié sans nécessité. Les mentions techniques détaillées dans les offres d’emploi, les noms de serveurs dans les en-têtes de courriels, les métadonnées de documents publiés, les adresses de bastion dans les certificats : chaque élément est anodin et l’ensemble constitue un plan. L’exercice utile consiste à dresser ce plan soi-même, une fois par an.

Tenir l’inventaire de sa surface exposée. On ne protège pas ce qu’on ne sait pas exposé : c’est la leçon de l’affaire Metabase à l’ANSSI et à la Dinum, où le défaut n’était pas la vulnérabilité mais l’ignorance de l’existence du service.

Surveiller ses propres fuites. Secrets dans les dépôts publics (sujet traité par prévenir les secrets codés en dur dans Git), documents internes indexés, comptes de prestataires visibles.

Apprendre aux équipes qu’une question est une attaque possible. Pas une suspicion généralisée, mais un réflexe : une demande d’information inhabituelle sur l’organisation ou ses outils se signale, même quand elle paraît légitime, surtout quand elle paraît légitime.

Et accepter la limite : on ne supprime pas cette tactique. On en réduit le rendement, de sorte que l’attaquant travaille plus longtemps, avec une information moins fraîche, ce qui augmente ses chances de se tromper : et les chances du défenseur de le voir se tromper.

Sources

TA0043, Reconnaissance, MITRE ATT&CK Enterprise v20 : objectif et douze techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui ne pense pas cette tactique considère sa surface d’information comme un sujet de communication, pas de sécurité. Les offres d’emploi détaillent la pile technique, les présentations publiques nomment les outils de supervision, les en-têtes de courriels livrent la version du relais, et personne ne fait le lien entre ces faits séparément inoffensifs. L’attaquant, lui, le fait : quand il choisit son vecteur d’entrée, il sait quelle version est déployée, qui l’administre et quand cette personne est en congé. Le coût ne se voit jamais dans un incident (aucun rapport ne conclut « la reconnaissance a réussi »), mais il se mesure au temps qu’a pris l’intrusion : quelques jours quand tout est documenté publiquement, plusieurs semaines quand il faut tâtonner. Et un attaquant qui tâtonne fait du bruit, c’est-à-dire laisse une chance de le repérer.

🦫 Explication de la marmotte 🍫

Avant d’attaquer un système informatique, celui qui s’y prépare commence par se renseigner. C’est la première étape du catalogue ATT&CK, appelée reconnaissance.

Il n’a pour cela presque aucun besoin de toucher à sa cible. Une grande partie de ce qu’il cherche est publiée : les offres d’emploi d’une entreprise décrivent les logiciels qu’elle utilise, son site web nomme ses dirigeants, les annuaires professionnels donnent l’organisation des services, et des bases de données publiques recensent les serveurs joignables sur Internet avec les logiciels qu’ils font tourner. Il peut aussi acheter de l’information à des intermédiaires, interroger des services d’intelligence artificielle qui rassemblent pour lui ce qui est dispersé, ou simplement poser la question par courriel en se faisant passer pour un fournisseur.

La seule de ces démarches qui laisse une trace est le sondage direct : essayer les portes pour voir lesquelles répondent. Encore cette trace se noie-t-elle dans un bruit permanent, Internet étant balayé en continu par des machines qui cherchent des ouvertures au hasard.

Il en résulte une conséquence contre-intuitive : à cette étape, la détection ne sert presque à rien, et l’effort utile consiste à réduire ce qu’il y a à trouver. Faire soi-même le travail de reconnaissance sur sa propre organisation (qu’est-ce qui est publié, quels serveurs répondent, quels secrets traînent dans des dépôts de code publics) est l’exercice le plus rentable, et il ne coûte qu’un peu de temps.

Dernier point, qui compte pour les personnes : une question anodine posée par un inconnu est un outil de travail pour l’attaquant. Savoir qui administre tel logiciel, à quelle date part en vacances le responsable informatique, ou comment se nomme le prestataire de sauvegarde vaut parfois plus qu’une faille technique.

Pages voisines

La citent

TA0042 Développement de ressources : les moyens que l'attaquant se donne

TA0043 Reconnaissance : ce que l'attaquant apprend avant d'entrer

Elle cite

: les deux pages se citent l’une l’autre.