Chapitre 5 — Détection et réponse¶
Présentation de ce chapitre
1. De l'analyse à la défense opérationnelle¶
Les chapitres précédents ont porté sur l'analyse d'un échantillon isolé. Ce chapitre fait le lien entre cette analyse et la défense d'un système d'information à l'échelle opérationnelle : comment détecter des malwares en général (connus ou inconnus), comment structurer la connaissance acquise sur les menaces, et comment organiser la réponse lorsqu'une compromission est identifiée.
2. Signatures, heuristiques et détection comportementale¶
Les logiciels de sécurité (antivirus, EDR) reposent sur plusieurs approches de détection, complémentaires et de maturité croissante :
Détection par signature¶
Une signature est un motif caractéristique (souvent dérivé d'un hachage ou d'une séquence d'octets spécifique) associé à un malware déjà connu et analysé. C'est la méthode de détection historique, rapide et fiable pour les menaces déjà répertoriées, mais par construction incapable de détecter un malware inédit (dit zero-day) ou une variante suffisamment modifiée pour échapper à la signature exacte.
Détection heuristique¶
L'heuristique généralise la signature en recherchant des motifs suspects plus larges (structure de code caractéristique, séquences d'instructions typiques d'un packer connu, combinaisons d'appels système inhabituelles) sans exiger une correspondance exacte. Elle permet de détecter des variantes non répertoriées d'une famille connue, au prix d'un risque plus élevé de faux positifs (un programme légitime signalé à tort comme malveillant).
Détection comportementale¶
La détection comportementale observe l'activité d'un programme en cours d'exécution (ou son historique récent) et la compare à des modèles de comportement normal ou anormal, indépendamment de sa signature statique. Elle peut détecter des menaces totalement inconnues, à condition que leur comportement s'écarte suffisamment du profil attendu. C'est le prolongement naturel, à l'échelle d'un parc de machines, de l'analyse dynamique en sandbox étudiée au chapitre 3.
| Approche | Détecte les menaces inconnues ? | Risque de faux positifs | Coût de calcul |
|---|---|---|---|
| Signature | Non | Faible | Faible |
| Heuristique | Partiellement | Modéré | Modéré |
| Comportementale | Oui, en principe | Plus élevé | Plus élevé |
En pratique, les solutions de sécurité modernes combinent systématiquement ces trois approches, chacune compensant les limites des autres.
3. EDR — Endpoint Detection and Response¶
L'EDR (Endpoint Detection and Response) désigne une catégorie d'outils de sécurité installés sur les postes de travail et serveurs (les endpoints), qui combinent :
- une collecte continue de télémétrie détaillée sur l'activité du système (processus créés, connexions réseau, accès fichiers, modifications de registre) — une forme de surveillance comportementale permanente, à l'échelle de l'ensemble du parc plutôt que d'un seul échantillon en sandbox ;
- une détection combinant signatures, heuristiques et analyse comportementale sur cette télémétrie ;
- des capacités de réponse intégrées, permettant d'isoler une machine compromise du réseau, de terminer un processus malveillant, ou de restaurer un fichier modifié, directement depuis la console de gestion.
L'EDR se distingue d'un antivirus traditionnel par sa visibilité beaucoup plus large (historique détaillé et interrogeable de l'activité, pas seulement un verdict binaire « sain/infecté ») et par sa capacité à détecter des attaques qui progressent lentement et discrètement (mouvement latéral, exfiltration progressive), en corrélant des événements individuellement anodins mais collectivement suspects.
4. Indicateurs de compromission (IOC)¶
Un indicateur de compromission (Indicator of Compromise, IOC) est un artefact technique observable qui signale, avec un degré de confiance variable, la présence ou le passage d'une menace sur un système. Les IOC constituent le langage commun par lequel les résultats d'une analyse de malware (chapitres 2 à 4) sont transformés en éléments de détection réutilisables.
Exemples de catégories d'IOC courantes :
| Catégorie | Exemples |
|---|---|
| Réseau | Adresse IP ou domaine de commande et contrôle, motif d'URL, empreinte de certificat TLS |
| Fichier | Hachage SHA-256 d'un échantillon, nom de fichier caractéristique, chemin de dépôt typique |
| Registre / système | Clé de registre de persistance, nom de service ou de tâche planifiée créé par le malware |
| Comportemental | Séquence d'appels système caractéristique, nom de mutex utilisé pour éviter une double infection |
Les IOC ont une durée de vie limitée : un attaquant change facilement une adresse IP ou recompile un échantillon pour changer son hachage. C'est pourquoi les IOC les plus robustes et durables sont ceux qui portent sur des éléments comportementaux difficiles à modifier sans reconcevoir substantiellement l'attaque — une idée centrale du cadre MITRE ATT&CK présenté ci-dessous.
5. MITRE ATT&CK® comme cadre de référence¶
MITRE ATT&CK® (Adversarial Tactics, Techniques, and Common Knowledge) est une base de connaissances publique et largement adoptée dans l'industrie, qui catalogue les tactiques (les objectifs poursuivis par un attaquant, comme l'accès initial, la persistance ou l'exfiltration) et les techniques (les moyens concrets observés pour atteindre ces objectifs), à partir de l'observation documentée de campagnes réelles.
Sa structure matricielle croise :
- les tactiques, qui reprennent et affinent la logique du cycle de vie d'une attaque déjà présentée au chapitre 1 (reconnaissance, accès initial, exécution, persistance, élévation de privilèges, contournement de défense, accès aux identifiants, découverte, mouvement latéral, collecte, exfiltration, impact) ;
- les techniques (et sous-techniques), qui décrivent des moyens précis d'atteindre chaque tactique (par exemple, plusieurs techniques distinctes permettent d'obtenir une persistance sur un système Windows).
L'intérêt pédagogique et opérationnel d'ATT&CK est double : il fournit un vocabulaire commun partagé par toute l'industrie pour décrire une attaque de façon précise et comparable d'un rapport à l'autre, et il permet à une organisation d'évaluer sa couverture de détection (quelles techniques du référentiel ses outils actuels permettent-ils réellement de détecter) de façon structurée plutôt qu'ad hoc.
6. Notions de réponse à incident¶
Lorsqu'une compromission est détectée (ou fortement suspectée), la réponse suit généralement un cycle en plusieurs phases, formalisé notamment par le NIST dans son guide de gestion des incidents :
- Préparation : mise en place en amont des outils, procédures et compétences nécessaires (avant tout incident).
- Détection et analyse : identification de l'incident, confirmation de sa réalité, évaluation de son ampleur — c'est ici que s'appliquent directement les techniques d'analyse de malware des chapitres précédents.
- Confinement (containment) : limitation de la propagation de l'incident, par exemple par l'isolation réseau d'une machine compromise (fonctionnalité typique d'un EDR, section 3).
- Éradication : suppression de la cause de l'incident (retrait du malware, fermeture de la vulnérabilité exploitée).
- Restauration (recovery) : retour à un fonctionnement normal, notamment à partir de sauvegardes saines (lien direct avec le chapitre 6).
- Enseignements tirés (lessons learned) : analyse rétrospective de l'incident pour améliorer les défenses et les procédures futures, y compris la mise à jour des indicateurs de compromission et de la couverture de détection ATT&CK.
Cette dernière phase illustre la nature cyclique de la sécurité opérationnelle : chaque incident, correctement analysé, alimente la préparation face aux incidents suivants.
À retenir¶
- La détection combine trois approches complémentaires : signatures (rapides, limitées aux menaces connues), heuristiques (variantes non répertoriées, plus de faux positifs) et comportementale (menaces inconnues, coût plus élevé).
- L'EDR étend la détection classique par une télémétrie continue et détaillée à l'échelle du parc, associée à des capacités de réponse intégrées (isolation, terminaison de processus).
- Un indicateur de compromission (IOC) traduit un résultat d'analyse en élément de détection réutilisable ; les IOC comportementaux sont plus durables que les IOC techniques facilement modifiables (IP, hachage).
- MITRE ATT&CK offre un vocabulaire commun et structuré (tactiques et techniques) pour décrire les attaques et évaluer la couverture de détection d'une organisation.
- La réponse à incident suit un cycle formalisé (préparation, détection, confinement, éradication, restauration, enseignements tirés) qui boucle directement sur l'analyse de malware et la sécurisation des données, objet du chapitre suivant.
Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou