# La défense par les chemins d'attaque

Manuel Poisson, Frédéric Guihéry

► To cite this version:

Manuel Poisson, Frédéric Guihéry. La défense par les chemins d'attaque. 2025. hal-05387433

HAL Id: hal-05387433

https://inria.hal.science/hal-05387433v1

Submitted on 28 Nov 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
<figure><img src="image_2.png" /></figure>

### LA DÉFENSE PAR LES CHEMINS D'ATTAQUE

En s'appuyant sur des modèles partagés, les organisations peuvent analyser les techniques, cartographier les chemins d'attaque et bâtir une défense véritablement proactive.

<figure><img src="image_3.png" /></figure>

MANUEL POISSON | Doctorant, AMOSSYS

<figure><img src="image_4.png" /></figure>

FRÉDÉRIC GUIHERY | Responsable innovation, AMOSSYS

<figure><img src="image_5.png" /></figure>

La cybersécurité ne se limite plus à collectionner des indicateurs de compromission ou à multiplier les signatures. Face à des attaques toujours plus complexes, il devient indispensable de raisonner en chaînes d'actions – de comprendre comment un adversaire peut progresser et pivoter pour atteindre ses objectifs. Pour cela, la communauté cyber s'appuie sur des standards de modélisation : des taxonomies communes pour décrire les attaques, et des représentations structurées pour en modéliser la dynamique. Ces approches permettent de parler un langage partagé entre chercheurs, analystes SOC/CSIRT et pentesters.

### 1_DES MODÈLES OPÉRATIONNELS

**MITRE ATT&CK :** un langage commun

Le framework MITRE ATT&CK (attack.mitre.org) est aujourd'hui la référence pour décrire les tactiques, techniques et procédures (TTP) observées chez les attaquants. Chaque technique y est rattachée à une ou plusieurs tactiques (objectif opérationnel, comme "Execution" ou "Credential Access") et documentée avec des exemples d'usage, des sources de détection et des stratégies d'atténuation du risque. Ce framework fournit un langage commun pour décrire, analyser et comparer les comportements offensifs, facilitant ainsi la détection, la réponse aux incidents et la conception de stratégies de défense.

**Atomic Red Team :** la brique unitaire

La bibliothèque Atomic Red Team (atomicredteam.io) propose un ensemble de tests "atomiques" : de petites procédures reproductibles, directement mappées aux techniques MITRE ATT&CK. Ces tests peuvent servir de briques élémentaires pour construire un chemin d'attaque, en garantissant la traçabilité entre actions simulées et TTP correspondantes.

**ATOMIC RED TEAM EN PRATIQUE**

Une suite de tests atomiques est formalisée en YAML et correspond à un ensemble de stimuli permettant de couvrir une technique MITRE ATT&CK. L'exécution des tests se fait en environnement Powershell ou Shell et peut s'accompagner de procédures permettant de déployer les prérequis nécessaires pour jouer les stimuli, et d'autres procédures pour nettoyer l'environnement en fin de test.

**Attack Flow :** la modélisation en graph

Le modèle Attack Flow (ctid.mitre.org/projects/attack-flow) permet de représenter la séquence d'actions d'un adversaire, ainsi que leurs dépendances logiques dans un format lisible et interoperable. Il décrit comment les différentes techniques s'enchaînent au sein d'un scénario, en reliant des événements individuels par des relations de cause à effet. En pratique, ces graphes offrent une vision structurée du déroulement d'une attaque, utile aussi bien pour documenter des analyses en phase de réponse à incidents que pour formaliser la connaissance de modes opératoires d'attaque.

**ATTACK FLOW EN PRATIQUE**

On crée ou importe des flows directement via l'IHM ou en important des fichiers JSON, et on y associe des techniques MITRE ATT&CK, des objets d'acteur et d'asset et des métadonnées.

L'IHM permet de visualiser d'un coup d'œil l'ensemble de la kill chain pour comprendre l'enchaînement des attaques modélisées.

<figure><img src="image_6.png" /></figure>

### 2**_ANALYSE**_R LA COUVERTURE DÉFENSIVE

L'un des principaux usages de MITRE ATT&CK consiste à mesurer la couverture défensive : quelles techniques sont détectées ? Quelles autres ne le sont pas encore ? Et comment combler ces écarts ? Cette analyse est souvent théorique, mais peut opportunément s'appuyer sur des résultats empiriques : par exemple, en se basant sur la génération de stimuli d'attaque, il est possible de vérifier concrètement si une activité SOC/CSIRT détecte et réagit correctement à chaque technique d'attaque. Cette méthode, utilisée par les équipes défensives matures, permet de produire une carte de couverture MITRE ATT&CK qui oriente les efforts de détection et de durcissement vers les techniques les plus à risque et les moins bien couvertes.

### 3_IDENTIFIER LES CHEMINS D'ATTAQUE

<figure><img src="image_7.png" /></figure>

Un chemin d'attaque est la succession logique d'actions qu'un adversaire peut enchaîner pour passer d'un point d'entrée initial à un objectif final. Contrairement à la simple description de techniques isolées, le chemin d'attaque introduit la notion de dépendances : chaque étape repose sur les résultats d'une ou plusieurs étape(s) précédente(s) (voir exemple illustré d'un chemin d'attaque). On peut rattacher les chemins d'attaque au domaine des graphes d'attaques, particulièrement utilisés dans le monde académique.

<figure><img src="image_8.png" /></figure>

Exemple de chemin d'attaque avec l'enchaînement des procédures d'attaque RDP permettant d'exécuter du code sur la machine WKSOP depuis la machine WKSUNI, runas pour faire une élévation de privilèges vers l'utilisateur sayanel, wmic pour revenir sur la machine WKSUNI avec le compte de sayanel cette fois, et enfin serviceExe- Modify afin de prendre le contrôle du compte privilégié system.

L'inférence de chemins d'attaque vise à identifier les trajectoires exploitables à travers un système d'information. À partir d'une position initiale compromise (un compte, une machine, une faille), on cherche à déterminer comment un adversaire pourrait progresser jusqu'à ses objectifs. Ces modèles mettent en lumière les dépendances entre vulnérabilités et les points de contrôle à renforcer pour bloquer la progression. Des outils comme PingCastle (pingcastle.com) ou BloodHound (bloodhound.specterops.io) facilitent cette approche, notamment dans les environnements Active Directory. Le premier évalue le niveau global de sécurité à travers un score de risque, tandis que le second cartographie les relations entre entités pour révéler les chemins d'escalade de privilèges et mouvements latéraux. Les recherches récentes (cf. AWARE : https://inria.hal.science/hal-04163780) vont plus loin en combinant ces graphes d'annuaire avec des données locales issues des postes et serveurs (vulnérabilités, configurations logicielles), offrant ainsi une vision complète des trajectoires d'attaque.

En somme, modéliser les chemins d'attaque permet de traduire la complexité technique du SI en scénarios exploitables : on sait quelles failles combiner pour atteindre une ressource sensible et quelles mesures ciblées appliquer pour casser ces enchaînements. C'est un levier direct pour prioriser les efforts de sécurité et mesurer leur efficacité.

<figure><img src="image_9.png" /></figure>

### 6_CONCLUSION : PENSER COMME L'ADVERSAIRE

S'appuyer sur des standards de la communauté permet de structurer la compréhension et l'évaluation des menaces. Ces cadres favorisent la collaboration entre red team, blue team et activité de threat intelligence, tout en accélérant la montée en maturité opérationnelle. La modélisation des chemins d'attaque fait évoluer la cybersécurité d'une approche réactive vers une démarche proactive. En analysant les séquences complètes plutôt que des signaux isolés, les équipes anticipent les comportements adverses et valident leurs défenses de manière concrète. Couplée aux plateformes de type Cyber Range, cette approche permet d'évaluer la résilience du SI face à des impacts offensifs concrets et de renforcer durablement la posture de sécurité.

### 4_VALIDER LA DÉFENSE

Une fois les chemins identifiés vient l'étape de la validation opérationnelle : tester, en conditions réelles, la résistance du SI face à ces scénarios. Contrairement à un test d'intrusion exploratoire, la validation de chemins d'attaque s'appuie sur des scénarios connus et formalisés à l'avance. L'objectif n'est pas de découvrir de nouvelles failles, mais de vérifier la robustesse et la réactivité des mécanismes défensifs. Grâce à des frameworks comme Atomic Red Team, chaque étape du scénario peut être automatisée et tracée. Ces exécutions permettent d'observer la réaction des systèmes :

* L'attaque est-elle bloquée ou détectée ?

* Une alerte est-elle émise ?

* Des actions de remédiation sont-elles déclenchées automatiquement ?

Si une étape échoue, l'analyse conduit à des mesures correctrices : durcissement des configurations, réduction de privilèges, ajustement des signatures, etc. Une fois les correctifs appliqués, le scénario est rejoué pour mesurer l'efficacité des améliorations. Cette démarche itérative ancre la sécurité dans une logique d'amélioration continue, permettant d'augmenter, dans le temps, le niveau de maturité des équipes défensives.

### 5_VERS L'ÉMULATION DE MODES OPÉRATOIRES

L'émulation de modes opératoires, c'est-à-dire exécuter des scénarios s'inspirant de vraies campagnes d'attaque, sert un double objectif : confronter le SI à des scénarios réalistes, et entraîner les équipes à détecter et répondre à des chaînes d'attaque connues. En se basant sur la threat intelligence et sur la capacité à exécuter des chaînes d'actions de manière automatisée, cette démarche permet de challenger une activité SOC/CSIRT dans sa capacité à comprendre l'activité d'un mode opératoire en cours d'exécution. L'émulation peut être conduite sur un segment isolé d'un SI en production ou, pour les scénarios à risque, dans un lab dédié sur une plateforme de type Cyber Range. Le choix dépend de l'acceptabilité du risque et du réalisme souhaité : la production exige des gardéfous et des fenêtres d'essai, tandis qu'une plateforme de type Cyber Range offre un isolement complet et une remise à l'état initial rapide. En pratique, la démarche consiste à sélectionner un mode opératoire pertinent, le traduire en enchaînements théoriques de TTP, puis de décomposer ces étapes en actions atomiques concrètes (via Atomic Red Team, par exemple). L'orchestration permet de dérouler le scénario de bout en bout, idéalement de manière automatisée comme le propose la plateforme d'attaque-défense M&NTIS (mantis-platform.io).

**M&NTIS EN PRATIQUE**

C'est une plateforme de simulation d'adversaires qui permet d'exécuter automatiquement des scénarios d'attaque, mappés sur MITRE ATT&CK, dans un environnement isolé. La formalisation des scénarios repose sur la notion de graphes d'attaque, qui permet de structurer l'enchaînement des étapes via des préconditions et conséquences. Ce niveau de réalisme des scénarios permet d'entraîner des équipes SOC/CSIRT et de tester les capacités de détection d'un SOC.

<figure><img src="image_10.png" /></figure>