Un référentiel n'est pas une méthode
Ils ne sont pas concurrents
Les trois référentiels sont souvent présentés comme concurrents, avec l'idée qu'il faudrait « choisir son framework ». C'est un contresens : ils ne répondent pas à la même question. Les comparer pour en élire un, c'est comparer une carte routière, un dictionnaire et une montre.
Lire le comparatif des trois
| Référentiel | Sa question | Sa force | Sa limite |
|---|---|---|---|
| NIST 800-61 | Quand et dans quel ordre agir ? | Cycle de vie complet, de la préparation au RETEX ; parle aussi au management | Aucun contenu technique : il ne dit pas quoi chercher dans les logs |
| MITRE ATT&CK | Que fait concrètement l'attaquant ? | Vocabulaire commun de 200+ techniques, pivots d'investigation concrets | Pas de séquencement : c'est un dictionnaire, pas un déroulé |
| Kill chain | Où en est la progression de l'attaque ? | Lecture stratégique : plus on coupe tôt, moins c'est cher | Trop grossière pour guider une investigation ; 7 maillons pour tout l'univers |
Ce qui arrive quand on n'en a qu'un
On le voit sur le terrain, dans les incidents que nous accompagnons.
NIST seul
L'équipe sait qu'elle est « en phase de confinement », mais personne ne sait quel artefact regarder ensuite. La procédure est respectée, l'investigation piétine.
ATT&CK seul
L'analyste identifie brillamment T1078, T1135, T1021… mais personne n'a décidé qui prévient la direction ni quand on coupe. Le diagnostic est juste, la réponse est désordonnée.
Kill chain seule
On sait que l'attaquant « est en phase 5 », ce qui n'aide ni à le trouver ni à l'expulser.
Trois couches, une méthode
Le schéma des trois couches
La combinaison que notre labo a retenue, et qui structure les smart playbooks ARTEFACT, superpose les trois référentiels comme des couches, chacune à son altitude :
Ce que chaque couche fait
- **Couche squelette (NIST).** Le playbook suit les phases 800-61 : détection, analyse, confinement, éradication, rétablissement, RETEX. C'est l'ordre des chapitres, et le langage du reporting.
- **Couche contenu (ATT&CK).** À l'intérieur de chaque phase, les questions et les pivots sont exprimés en techniques ATT&CK. « Analyser » devient : quelles techniques sont confirmées, lesquelles sont probables juste après ?
- **Couche boussole (kill chain).** La position de l'attaque sur la chaîne pilote l'urgence. Découverte = fenêtre d'action ; exfiltration entamée = tout change, y compris les obligations de notification.
Ce que ça donne quand une couche manque
Voici un cas que nous avons vu plusieurs fois, à peine déguisé : compromission d'un compte à privilèges, découverte en cours, pas encore d'exfiltration visible.
L'équipe n'avait que NIST
La procédure a été suivie : déclaration, cellule, phase « analyse ». Personne n'avait la liste des techniques à confirmer ensuite (sessions, partages, mouvements). Deux heures de plus à chercher « des logs suspects » sans pivot. Le confinement est arrivé après que l'attaquant ait déjà touché une deuxième machine.
L'équipe n'avait que ATT&CK
L'analyste a nommé T1078 et T1135 en vingt minutes. Personne n'avait décidé qui prévenait la direction, ni le critère de confinement. Le diagnostic était juste ; la réponse a attendu qu'un senior « sente » qu'il fallait couper. La kill chain n'était même pas posée : on ne savait pas si on était encore dans une fenêtre ou déjà trop tard.
Assembler les trois sans réécrire toute la procédure
Inutile de jeter le document existant. On lui ajoute ce qui manque, dans cet ordre.
Annoter la procédure actuelle
Imprimez (ou ouvrez) votre procédure d'incident. En face de chaque étape, écrivez laquelle des trois questions elle sert. Les blancs sont votre dette : souvent « quoi chercher » dans la phase d'analyse, souvent « où en est l'attaquant » au moment de décider le confinement.
Ajouter deux artefacts, pas un troisième framework
Un tableau des pivots ATT&CK pour vos trois scénarios les plus fréquents (compte compromis, ransomware, exfiltration). Une ligne kill chain dans le ticket d'incident : reconnaissance / accès / découverte / action. C'est déjà une méthode opérante. Le playbook outillé vient après, quand ces deux artefacts sont utilisés sans qu'on les cherche.