IOC, IOA, TTP et la pyramide de la douleur

Après un incident ou à la lecture d’un rapport de veille, on récupère des « indicateurs » : des adresses IP, des noms de domaine, des empreintes de fichiers. Les bloquer donne un sentiment de sécurité. Mais tous les indicateurs ne se valent pas : certains ne gênent presque pas un attaquant, d’autres l’obligent à tout revoir. C’est l’idée de la pyramide de la douleur.

Trois notions à distinguer

Notion	Ce que c’est	Exemple
IOC (indicateur de compromission)	Une trace concrète qui montre qu’une compromission a eu lieu	Le SHA-256 d’un malware, une IP de serveur de commande, un domaine de phishing
IOA (indicateur d’attaque)	Un comportement qui montre qu’une attaque est en cours, quel que soit l’outil	Un document Office qui lance PowerShell, qui télécharge un exécutable, qui crée une tâche planifiée
TTP (tactiques, techniques et procédures)	La façon d’opérer d’un attaquant	« Accès initial par phishing, persistance par tâche planifiée, vol d’identifiants dans la mémoire de lsass »

Les IOC disent quoi chercher, les IOA et les TTP disent comment l’attaquant agit.

La pyramide de la douleur

En 2013, David Bianco a proposé de classer les indicateurs selon la difficulté qu’a l’attaquant à les changer quand on les détecte. C’est la pyramide de la douleur :

                  ▲   Difficile pour l'attaquant
                 TTP                    « Dur ! »
               Outils                   « Pénible »
     Artefacts réseau et système        « Agaçant »
          Noms de domaine               « Simple »
           Adresses IP                  « Facile »
        Valeurs de hash                 « Trivial »
                  ▼   Facile pour l'attaquant

Niveau	Pourquoi il est là
Hash	Modifier un seul octet du fichier change son empreinte. Contournement trivial.
Adresses IP	Nouveau serveur, service cloud, proxy : changer d’adresse prend quelques minutes.
Noms de domaine	Enregistrer un nouveau domaine coûte un peu d’argent et de temps.
Artefacts réseau et système	Un User-Agent particulier, un chemin d’URL, un nom de canal, une clé de registre : il faut modifier l’outil.
Outils	Si on détecte l’outil lui-même (quelle que soit sa version), l’attaquant doit en changer ou en développer un autre.
TTP	Si on détecte la façon d’opérer, l’attaquant doit changer ses habitudes, ce qui est long et coûteux.

Plus on détecte haut dans la pyramide, plus on impose de coût à l’attaquant. D’où l’intérêt de viser les comportements.

Les IOC restent utiles

Les indicateurs du bas de la pyramide ne sont pas inutiles pour autant :

• ils sont faciles à rechercher sur tout le parc et dans l’historique (SIEM, EDR, DNS, proxy) ;
• ils permettent de savoir rapidement si une campagne connue nous a touchés ;
• ils servent au scoping pendant un incident ;
• ils se partagent facilement entre organisations, par exemple via MISP.

Mais ils vieillissent vite. Une IP malveillante il y a six mois peut aujourd’hui appartenir à un hébergement parfaitement légitime. On leur donne donc une durée de vie, et on évite de les garder indéfiniment dans les listes de blocage.

Passer des IOC aux comportements

Quelques exemples de détections qui montent dans la pyramide :

Plutôt que…	… on détecte
Le hash d’un outil de vol d’identifiants	Tout processus non autorisé qui ouvre la mémoire de lsass.exe
L’IP d’un serveur de commande	Des connexions sortantes très régulières vers une même destination peu connue
Le nom d’un script malveillant	Un document Office qui lance un interpréteur de commandes
Le nom d’un rançongiciel	La suppression des copies de restauration, suivie de modifications massives de fichiers

C’est ce que décrit MITRE ATT&CK (voir la série sur les attaques) : chaque technique est accompagnée de pistes de détection comportementale.

L’article suivant va un cran plus loin : partir à la recherche de l’attaquant sans attendre d’alerte, la chasse aux menaces.