Le déroulement d'une attaque
Les sept phases de la chaîne d'attaque, la défense qui casse chaque phase, ATT&CK, et le test d'intrusion : boîte noire, grise ou blanche, ses étapes et l'autorisation écrite exigée par le Code pénal.
- 27 cartes
- 4 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Mises en situation
Quelques cartes du deck
Chaîne d'attaque (kill chain) : de quoi s'agit-il ?
Voir la réponse
Modèle qui découpe une intrusion en sept phases successives, de la collecte d'informations sur la cible jusqu'à l'action finale ; la défense gagne si elle en casse une seule.
Reconnaissance, armement, livraison, exploitation, installation, commande et contrôle, actions sur l'objectif. Plus on coupe tôt, moins l'attaquant a de dégâts à son actif.
Quelle est la différence entre la chaîne d'attaque et MITRE ATT&CK ?
- La chaîne donne l'ordre général des phases, ATT&CK catalogue les techniques employées à chaque tactique
- La chaîne décrit les attaques réseau et ATT&CK les attaques sur les postes de travail uniquement
- La chaîne est une norme obligatoire pour les opérateurs et ATT&CK un guide facultatif de l'ANSSI
- ATT&CK est le modèle des défenseurs et la chaîne le modèle des attaquants, sans contenu commun
Voir la réponse
La chaîne donne l'ordre général des phases, ATT&CK catalogue les techniques employées à chaque tactique
Les deux décrivent l'attaque et servent à la défense. L'un est un enchaînement en peu de phases, l'autre une matrice détaillée, tenue à jour d'après des incidents réels.
Dans la chaîne d'attaque, l'… prépare la charge malveillante, la … la fait parvenir à la victime et l'… déclenche la faille.
Voir la réponse
Dans la chaîne d'attaque, l'armement prépare la charge malveillante, la livraison la fait parvenir à la victime et l'exploitation déclenche la faille.
Seule la livraison est visible de la victime (e-mail, clé USB, site piégé) : l'armement se passe chez l'attaquant, hors de portée de toute défense.
Reconnaissance : de quoi s'agit-il ?
Voir la réponse
Première phase d'une attaque : l'attaquant collecte ce qui est public ou sondable sur sa cible (adresses, services ouverts, employés, versions de logiciels).
La partie passive (réseaux sociaux, DNS, certificats) est invisible ; la partie active (balayage de ports) laisse des traces dans les journaux, et c'est là qu'on peut la repérer.
Un rançongiciel est entré par une pièce jointe ouverte par un employé, a exploité un serveur non corrigé, puis chiffré des sauvegardes restées joignables. Où l'arrêter au moindre coût, et par quelle mesure ?
- À l'installation, par la restauration des sauvegardes après le chiffrement
- À l'exploitation, par la formation de tous les employés à ne plus ouvrir de pièce jointe
- Aux actions sur l'objectif, par un antivirus qui détecte le chiffrement en cours
- À la livraison, par un filtrage des e-mails qui bloque la pièce jointe piégée
Voir la réponse
À la livraison, par un filtrage des e-mails qui bloque la pièce jointe piégée
Couper à la livraison évite tout ce qui suit. Les autres mesures (correctifs, sauvegardes hors ligne) restent utiles : elles cassent une phase ultérieure si la première défense cède.