TA0112 Dégradation des défenses : casser ce qui surveille

TA0112 Dégradation des défenses : casser ce qui surveille

Huitième tactique de la matrice ATT&CK Enterprise, et la plus récente : elle n’existe que depuis la version 19, publiée le 28 avril 2026, qui a scindé l’ancienne tactique Defense Evasion en deux. L’objectif, selon le MITRE : l’adversaire cherche à casser les mécanismes de sécurité, les chaînes de traitement et l’outillage, pour que les défenseurs ne puissent plus voir ce qui se passe, ni s’y fier.

Explication de la marmotte

Le visiteur a le choix entre passer déguisé devant la caméra et débrancher la caméra. La seconde méthode est plus sûre pour lui, et elle a un inconvénient : l’écran du poste de garde devient noir. Si personne ne regarde l’écran, elle est parfaite ; si quelqu’un regarde, c’est l’alarme la plus franche qu’on puisse déclencher. TA0112 est cette seconde méthode.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant, et ce qui le distingue de la furtivité

La définition oppose terme à terme les deux tactiques issues de la scission. La dégradation des défenses regroupe les techniques qui dégradent, désactivent ou sapent l’efficacité et la fiabilité des contrôles de sécurité et des mécanismes de supervision. Elles se caractérisent par une interférence directe avec les systèmes défensifs, et visent à réduire la capacité des défenseurs à détecter, interpréter ou traiter ce qui se produit.

L’autre tactique, la furtivité, code TA0005, regroupe au contraire les techniques de dissimulation qui ne touchent pas aux contrôles : se mêler à l’activité légitime plutôt que l’aveugler.

La distinction n’est pas que doctrinale, et c’est ce qui justifie la scission. Les deux tactiques ont des propriétés défensives opposées :

• la furtivité ne produit, par construction, aucun signal : on la cherche par hypothèse ;
• la dégradation produit nécessairement un événement : un service qui s’arrête, une règle qui change, une signature qui n’est plus mise à jour, un journal qui cesse d’arriver. Elle est donc la plus détectable des deux : à condition de superviser ses propres outils de supervision, ce que presque personne ne fait.

Le mot « ni s’y fier » de la définition mérite enfin d’être relevé : l’objectif n’est pas seulement d’empêcher de voir, mais de rendre douteux ce qui est vu. Un défenseur qui ne peut plus faire confiance à ses journaux est aussi handicapé qu’un défenseur qui n’en a pas.

Les techniques, et ce qu’elles couvrent

Dix-huit techniques. La version 19 en a promu plusieurs au rang de technique de plein droit, alors qu’elles étaient auparavant des sous-techniques d’une entrée fourre-tout : c’est le cas des six numéros de la série T1685 à T1690.

Désactiver l’outillage. T1685 (désactiver ou modifier les outils) vise les agents de détection, les antivirus, les collecteurs de journaux. T1686 (désactiver ou modifier le pare-feu système), T1690 (empêcher la journalisation de l’historique des commandes) et T1688 (démarrage en mode sans échec, qui charge le système sans les protections) complètent la famille. T1687 (exploitation pour dégradation des défenses) couvre le cas où il faut une vulnérabilité pour y parvenir : fréquent, les agents de sécurité se protégeant eux-mêmes.

Modifier la configuration de sécurité. T1112 (modifier le registre), T1222 (modifier les permissions de fichiers et de répertoires), T1647 (modifier un fichier de propriétés sous macOS) et T1484 (modifier la politique de domaine ou de locataire) : cette dernière partagée avec l’élévation de privilèges, puisque la même modification élève et aveugle.

Saper la confiance. T1553 (subvertir les contrôles de confiance) touche aux magasins de certificats et aux mécanismes de signature de code : ce n’est plus la détection qu’on désactive, c’est la validation qu’on retourne, de sorte que le code de l’attaquant devient légitime aux yeux du système. T1556 (modifier le processus d’authentification) applique la même idée aux identités. T1600 (affaiblir le chiffrement) et T1689 (attaque par rétrogradation) forcent le retour à des mécanismes plus faibles, souvent encore acceptés pour compatibilité.

Détourner l’infrastructure. T1207 (contrôleur de domaine fictif) introduit dans l’annuaire un serveur qui n’en est pas un, et qui réplique ce qu’il veut. T1601 (modifier l’image système) vise les équipements réseau, dont le système se remplace. T1599 (franchissement de frontière réseau) transforme un équipement de filtrage en passerelle. T1578 (modifier l’infrastructure de calcul en nuage) et T1666 (modifier la hiérarchie des ressources en nuage) décrivent l’équivalent dans une plateforme : créer une instance hors du périmètre supervisé, ou déplacer une ressource dans une branche où les politiques ne s’appliquent pas.

Ce qu’on peut détecter, et par quoi

C’est ici que la scission paie, car la liste des signaux est courte et nette.

L’arrêt de l’agent de sécurité. Un outil de détection qui cesse de communiquer est un événement de sécurité majeur, et il est trop souvent traité comme un incident d’exploitation : ticket au support, redémarrage du service, clôture. La règle utile tient en une phrase : tout agent silencieux est suspect jusqu’à preuve du contraire. La page sur l’EDR détaille ce point et les contournements connus.

L’interruption du flux de journaux. Une machine qui n’envoie plus rien doit déclencher une alerte par son silence. C’est une règle d’absence, plus difficile à écrire qu’une règle de présence, et c’est celle qui manque dans la plupart des configurations. Elle n’a de sens que si les journaux partent en continu vers un stockage hors de portée, comme le décrit l’architecture de journalisation d’audit immuable centralisée.

Les modifications de configuration de sécurité. Règle de pare-feu modifiée, exclusion ajoutée à l’antivirus, politique de domaine éditée, magasin de certificats enrichi d’une autorité inconnue : ces événements sont rares et presque toujours attribuables à une intervention identifiable. Leur surveillance est peu coûteuse et d’un rendement élevé.

Les anomalies d’annuaire et de plateforme. Un contrôleur de domaine non déclaré, une instance de calcul créée dans une région inhabituelle, une ressource déplacée dans une autre branche de la hiérarchie : la supervision du plan de contrôle, souvent négligée au profit de celle des machines, est le seul endroit où ces techniques se voient.

Le calibrage. Ces alertes seront peu nombreuses, et c’est leur intérêt. Les noyer dans un flux non trié revient à les perdre : calibrer les alertes d’un SIEM sans noyer le SOC et réduire la fatigue d’alerte traitent précisément de cet arbitrage.

Ce que le défenseur peut faire

Superviser la supervision. Un tableau unique répondant à « quels agents sont actifs, quelles machines envoient des journaux, depuis quand », relu quotidiennement. C’est la contre-mesure directe de toute la tactique, et la plus souvent absente.

Protéger les outils contre leur propre arrêt. Protection anti-altération des agents, mot de passe de désinstallation, service impossible à arrêter localement même avec les droits d’administration locale. La plupart des produits le proposent ; l’option est fréquemment désactivée pour faciliter les dépannages.

Rendre les journaux inaltérables et distants. Mêmes mesures que contre la furtivité, et pour la même raison : ce qui est déjà parti ne s’efface plus.

Verrouiller les mécanismes de confiance. Inventaire des autorités de certification installées, contrôle des exceptions de signature de code, interdiction des mécanismes cryptographiques obsolètes : car une rétrogradation ne fonctionne que si l’ancien mécanisme est encore accepté.

Surveiller le plan de contrôle du nuage autant que les machines. Création d’instances, modification de la hiérarchie des ressources, changement de politique : c’est là que se jouent les techniques les plus récentes de la tactique, et c’est l’angle mort le plus répandu.

Sources

• TA0112, Defense Impairment, MITRE ATT&CK Enterprise v20 : objectif, critère de distinction avec la furtivité et dix-huit techniques.
• ATT&CK Updates, v19, MITRE, 28 avril 2026 : scission de Defense Evasion en Stealth et Defense Impairment.
• Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation qui ne surveille pas ses propres outils de sécurité leur accorde une confiance qu’elle n’a jamais vérifiée. L’agent de détection est arrêté sur la machine compromise ; le tableau de bord continue d’afficher une couverture de quatre-vingt-dix-huit pour cent, parce qu’il compte les agents installés et non les agents actifs. Le flux de journaux d’un serveur s’interrompt un mardi soir ; personne ne s’en aperçoit, car aucune règle ne surveille les silences. Trois semaines plus tard, l’incident est découvert par un tiers (un client, un partenaire, une autorité), et l’enquête se heurte à un trou de trois semaines exactement là où il importait de voir. Le coût final n’est pas l’intrusion mais l’impossibilité de la délimiter : faute de journaux, l’organisation ne peut établir ni la date d’entrée, ni le périmètre touché, ni ce qui est sorti, et doit donc traiter l’ensemble de son parc comme compromis.

🦫 Explication de la marmotte 🍫

Un attaquant installé dans un système a deux façons d’éviter d’être repéré. La première consiste à se déguiser et à agir discrètement, sans toucher aux dispositifs de surveillance. La seconde, décrite ici, consiste à s’attaquer directement à ces dispositifs : arrêter le logiciel de détection, vider les règles du pare-feu, empêcher l’enregistrement des commandes tapées, ou redémarrer la machine dans un mode spécial où les protections ne se chargent pas.

Le catalogue ATT&CK a séparé ces deux manières en avril 2026, et la séparation est pertinente, parce qu’elles ne se détectent pas du tout de la même façon. Se déguiser ne produit aucun signal : il n’y a rien à repérer, par définition. Casser quelque chose en produit toujours un : un logiciel s’arrête, une configuration change, des journaux cessent d’arriver.

Autrement dit, cette étape est la plus facile à détecter de toutes, à une condition qui est aussi la plus rarement remplie : il faut surveiller ses propres outils de surveillance. Beaucoup d’organisations affichent un tableau de bord indiquant que leur logiciel de sécurité est installé sur 98 % des machines, sans vérifier sur combien il fonctionne encore. Un agent arrêté y figure comme installé.

Une variante mérite d’être signalée, car elle ne casse rien et est donc plus retorse : au lieu de désactiver les contrôles, l’attaquant retourne les mécanismes de confiance. Il ajoute une autorité de certification à la liste de celles que la machine croit, ou force le retour à une méthode de chiffrement ancienne et faible, encore acceptée pour compatibilité. Rien ne tombe en panne ; simplement, ce que le système considère comme légitime n’est plus décidé par son propriétaire.

La mesure la plus efficace reste la même que contre la dissimulation : envoyer les journaux en continu, hors de la machine, vers un stockage qu’on ne peut pas réécrire, et déclencher une alerte quand une machine se tait.

À lire aussi

• TA0007 Découverte : l'attaquant cherche où il est tombéLa tactique ATT&CK TA0007 : s'orienter dans l'environnement compromis. Trente-quatre techniques, pourquoi c'est la tactique la plus bruyante de la matrice, et comment en faire la meilleure fenêtre de détection.
• TA0009 Collecte : rassembler ce qui sera voléLa tactique ATT&CK TA0009 : rassembler les données visées avant de les sortir. Dix-sept techniques, l'étape de regroupement qui précède l'exfiltration, et pourquoi c'est la dernière occasion d'intervenir.
• TA0043 Reconnaissance : ce que l'attaquant apprend avant d'entrerLa tactique ATT&CK TA0043 : rassembler de l'information pour préparer l'opération. Les douze techniques, ce qui est détectable et ce qui ne l'est pas, et ce que le défenseur peut réduire.
• TA0008 Mouvement latéral : passer d'une machine à la suivanteLa tactique ATT&CK TA0008 : entrer et prendre le contrôle de systèmes distants dans le réseau. Neuf techniques, le rôle décisif de la segmentation, et ce qui distingue un déplacement d'attaquant d'une administration normale.

Pages voisines

La citent

• TA0006 Accès aux identifiants : voler plutôt que forcer
• CICD-SEC-10 : journalisation et visibilité insuffisantes

TA0112 Dégradation des défenses : casser ce qui surveille

Elle cite

• ⇄Lien dans les deux sens :TA0005 Furtivité : se fondre dans l'activité normale
• ⇄Lien dans les deux sens :MITRE ATT&CK : les quinze tactiques de l'attaquant
• TA0004 Élévation de privilèges : passer d'un compte ordinaire à l'administration
• Architecture de journalisation d’audit immuable centralisée
• Comment calibrer les alertes d’un SIEM sans noyer le SOC
• EDR : fonctionnement, angles morts et contournements
• Réduire la fatigue d’alerte dans un SOC

⇄ : les deux pages se citent l’une l’autre.