Aller au contenu
Méthode · 9 min de lecture

NIST, MITRE, Kill Chain : composer sa propre méthode

Pourquoi un seul référentiel ne suffit pas, et comment notre labo les combine.

Par Hakim Djelili

Le malentendu

Un référentiel n'est pas une méthode

Ils ne sont pas concurrents

Les trois référentiels sont souvent présentés comme concurrents, avec l'idée qu'il faudrait « choisir son framework ». C'est un contresens : ils ne répondent pas à la même question. Les comparer pour en élire un, c'est comparer une carte routière, un dictionnaire et une montre.

Lire le comparatif des trois

RéférentielSa questionSa forceSa limite
NIST 800-61Quand et dans quel ordre agir ?Cycle de vie complet, de la préparation au RETEX ; parle aussi au managementAucun contenu technique : il ne dit pas quoi chercher dans les logs
MITRE ATT&CKQue fait concrètement l'attaquant ?Vocabulaire commun de 200+ techniques, pivots d'investigation concretsPas de séquencement : c'est un dictionnaire, pas un déroulé
Kill chainOù en est la progression de l'attaque ?Lecture stratégique : plus on coupe tôt, moins c'est cherTrop grossière pour guider une investigation ; 7 maillons pour tout l'univers
En pratique

Ce qui arrive quand on n'en a qu'un

On le voit sur le terrain, dans les incidents que nous accompagnons.

NIST seul

L'équipe sait qu'elle est « en phase de confinement », mais personne ne sait quel artefact regarder ensuite. La procédure est respectée, l'investigation piétine.

ATT&CK seul

L'analyste identifie brillamment T1078, T1135, T1021… mais personne n'a décidé qui prévient la direction ni quand on coupe. Le diagnostic est juste, la réponse est désordonnée.

Kill chain seule

On sait que l'attaquant « est en phase 5 », ce qui n'aide ni à le trouver ni à l'expulser.

L'assemblage

Trois couches, une méthode

Le schéma des trois couches

La combinaison que notre labo a retenue, et qui structure les smart playbooks ARTEFACT, superpose les trois référentiels comme des couches, chacune à son altitude :

Trois couches, une méthodeNIST 800-61 en couche squelette, MITRE ATT&CK en couche contenu, kill chain en couche boussole ; le smart playbook les traverse comme un fil unique.ALTITUDEdéroulé de l'incident →NIST 800-61quand agir ? (phases · reporting)MITRE ATT&CKquoi chercher ? (techniques · pivots)Kill chainoù en est-il ? (progression · urgence)1 playbook

Ce que chaque couche fait

  • **Couche squelette (NIST).** Le playbook suit les phases 800-61 : détection, analyse, confinement, éradication, rétablissement, RETEX. C'est l'ordre des chapitres, et le langage du reporting.
  • **Couche contenu (ATT&CK).** À l'intérieur de chaque phase, les questions et les pivots sont exprimés en techniques ATT&CK. « Analyser » devient : quelles techniques sont confirmées, lesquelles sont probables juste après ?
  • **Couche boussole (kill chain).** La position de l'attaque sur la chaîne pilote l'urgence. Découverte = fenêtre d'action ; exfiltration entamée = tout change, y compris les obligations de notification.
3
référentiels
chacun à son altitude : phases, techniques, progression
1
trame unique
l'analyste ne jongle pas entre trois documents, la méthode est fusionnée dans le playbook
Un incident

Ce que ça donne quand une couche manque

Voici un cas que nous avons vu plusieurs fois, à peine déguisé : compromission d'un compte à privilèges, découverte en cours, pas encore d'exfiltration visible.

L'équipe n'avait que NIST

La procédure a été suivie : déclaration, cellule, phase « analyse ». Personne n'avait la liste des techniques à confirmer ensuite (sessions, partages, mouvements). Deux heures de plus à chercher « des logs suspects » sans pivot. Le confinement est arrivé après que l'attaquant ait déjà touché une deuxième machine.

L'équipe n'avait que ATT&CK

L'analyste a nommé T1078 et T1135 en vingt minutes. Personne n'avait décidé qui prévenait la direction, ni le critère de confinement. Le diagnostic était juste ; la réponse a attendu qu'un senior « sente » qu'il fallait couper. La kill chain n'était même pas posée : on ne savait pas si on était encore dans une fenêtre ou déjà trop tard.

Composer

Assembler les trois sans réécrire toute la procédure

Inutile de jeter le document existant. On lui ajoute ce qui manque, dans cet ordre.

Annoter la procédure actuelle

Imprimez (ou ouvrez) votre procédure d'incident. En face de chaque étape, écrivez laquelle des trois questions elle sert. Les blancs sont votre dette : souvent « quoi chercher » dans la phase d'analyse, souvent « où en est l'attaquant » au moment de décider le confinement.

Ajouter deux artefacts, pas un troisième framework

Un tableau des pivots ATT&CK pour vos trois scénarios les plus fréquents (compte compromis, ransomware, exfiltration). Une ligne kill chain dans le ticket d'incident : reconnaissance / accès / découverte / action. C'est déjà une méthode opérante. Le playbook outillé vient après, quand ces deux artefacts sont utilisés sans qu'on les cherche.