MITRE ATT&CK v20 : tactiques, techniques et D3FEND

MITRE ATT&CK est le langage commun de la menace : un référentiel qui décrit comment les attaquants opèrent réellement, classé par tactiques (leurs objectifs) et techniques (leurs méthodes). Cette page est écrite sur la version 20, publiée le 13 octobre 2026 (source : notes de version ATT&CK). Elle explique le vocabulaire, la matrice Enterprise à 15 tactiques, les mitigations et l'outil Navigator, puis D3FEND, le pendant défensif qui relie les contre-mesures aux six réponses de la kill chain. Elle s'adresse aux personnes qui ont suivi les phases d'une attaque.

Ce que vous allez apprendre

ATT&CK (prononcé « attack », pour Adversarial Tactics, Techniques and Common Knowledge) sert de socle à la détection moderne et au renseignement sur les menaces. Concrètement, vous saurez :

• Définir tactiques, techniques et sous-techniques, et lire une matrice.
• Nommer les tactiques de la matrice Enterprise v20 et rattacher chaque phase de la kill chain aux tactiques correspondantes.
• Employer ATT&CK pour cartographier une menace, avec les mitigations et l'ATT&CK Navigator.
• Situer D3FEND et relier ses familles de contre-mesures aux six réponses de la matrice et aux types de mesures.
• Éviter les pièges de lecture : viser 100 % de la matrice, confondre couverture déclarée et couverture prouvée.

Qu'est-ce que MITRE ATT&CK ?

MITRE ATT&CK est une base de connaissances publique, maintenue depuis 2013 par l'organisation à but non lucratif MITRE, qui recense les comportements d'attaquants observés dans de vraies intrusions. Là où un antivirus raisonne en signatures de fichiers, ATT&CK raisonne en modes opératoires : ce que l'adversaire cherche à faire, et par quels moyens.

Son parti pris est de classer les techniques, pas les groupes d'attaquants. Une technique reste valable quand l'auteur change de nom ou d'outil, là où une liste d'adversaires se périme vite. La matrice devient alors une grille de couverture : pour chaque technique documentée, une équipe se demande si elle est empêchée, et à défaut si elle serait détectée. Chaque technique est fondée sur l'observation, avec des exemples de groupes et de logiciels malveillants qui l'emploient.

Le référentiel évolue plusieurs fois par an, d'où la mention de version. La v19 d'avril 2026 a scindé l'ancienne tactique « Defense Evasion » en deux ; la v20 d'octobre 2026 ajoute notamment des techniques centrées sur l'intelligence artificielle et de nouvelles campagnes documentées. Une page de référence qui ne cite pas sa version ne dit pas à quelle matrice elle se rapporte.

Tactiques, techniques et sous-techniques

Le vocabulaire d'ATT&CK tient en trois niveaux, du plus général au plus précis.

• Une tactique répond à la question pourquoi : l'objectif de l'attaquant à un instant donné. Elle porte un identifiant TA (ex. TA0001 pour l'accès initial).
• Une technique répond à comment : le moyen employé. Elle porte un identifiant T (ex. T1566 pour le hameçonnage).
• Une sous-technique précise une variante, avec un suffixe (ex. T1566.001 pour le hameçonnage par pièce jointe).

Un même comportement se lit donc à deux dimensions : la colonne (la tactique visée) et la case (la technique employée). C'est cette grille qui donne son nom à la matrice ATT&CK. Quand vous croisez T1530 dans un rapport ou dans une exigence SOCLE, c'est une technique (« données issues d'un stockage cloud ») : tous les identifiants sont détaillés sur attack.mitre.org.

Quelles sont les 15 tactiques de la matrice Enterprise ?

La matrice Enterprise compte 15 tactiques en v20, listées dans un ordre qui suit grossièrement la progression d'une intrusion (source : page des tactiques Enterprise). Le schéma les présente dans cet ordre, ligne par ligne ; les trois dernières, en grisé ou en rouge, sont celles du bout de la chaîne. Les connaître, c'est savoir lire une matrice.

Chaque tactique (le pourquoi de l'attaquant) regroupe des techniques (le comment, par exemple T1566 hameçonnage). La progression n'est pas linéaire : un attaquant combine et répète. Source · SVG

Échap pour fermer, + et − pour zoomer, défilement pour se déplacer. 100 % − Ajuster + Fermer

Tactique	Identifiant	Objectif de l'attaquant
Reconnaissance	TA0043	Collecter des informations pour planifier ses opérations
Développement de ressources	TA0042	Établir les ressources qui soutiennent ses opérations
Accès initial	TA0001	Entrer dans le réseau
Exécution	TA0002	Faire tourner du code ou des instructions malveillants
Persistance	TA0003	Maintenir son point d'appui
Élévation de privilèges	TA0004	Obtenir des permissions de niveau supérieur
Furtivité (Stealth)	TA0005	Se cacher et passer pour un comportement normal
Altération des défenses (Defense Impairment)	TA0112	Casser les mécanismes, chaînes et outils de sécurité pour que les défenseurs ne voient plus ou ne croient plus ce qui se passe
Accès aux identifiants	TA0006	Voler des noms de comptes et des mots de passe
Découverte	TA0007	Comprendre l'environnement
Déplacement latéral	TA0008	Se déplacer dans l'environnement
Collecte	TA0009	Rassembler les données visées
Commande et contrôle	TA0011	Communiquer avec les systèmes compromis pour les piloter
Exfiltration	TA0010	Voler des données
Impact	TA0040	Manipuler, interrompre ou détruire systèmes et données

Glissez pour voir

Les objectifs reprennent les descriptions de la page officielle, traduites. Deux lignes méritent l'attention : Furtivité (TA0005) et Altération des défenses (TA0112) sont les deux moitiés de l'ancienne tactique « Defense Evasion », séparées en v19 (avril 2026) selon les notes de version. La première regroupe l'art de se fondre dans l'activité normale, la seconde le fait de désactiver activement les défenses, par exemple couper un agent de sécurité. Un rapport ou une exigence plus ancienne peut encore parler de « Defense Evasion » : c'est le même terrain, découpé autrement.

Comment passer d'une phase de la kill chain à une tactique ATT&CK ?

La kill chain raconte une attaque en sept phases ; ATT&CK catalogue des comportements. Les deux se rejoignent, sans correspondance parfaite : une phase peut recouvrir plusieurs tactiques, et ATT&CK décrit des étapes (privilèges, identifiants, rebonds) que la kill chain ne distingue pas. Le tableau est la lecture de ce site, à utiliser comme point de départ.

Phase de la kill chain	Tactiques ATT&CK correspondantes
1. Reconnaissance	Reconnaissance (TA0043)
2. Armement	Développement de ressources (TA0042)
3. Livraison	Accès initial (TA0001)
4. Exploitation	Exécution (TA0002), et Accès initial (TA0001) quand la faille ouvre l'entrée
5. Installation	Persistance (TA0003), souvent avec Furtivité (TA0005)
6. Commande et contrôle	Commande et contrôle (TA0011)
Entre 5 et 7, après l'intrusion	Découverte (TA0007), Élévation de privilèges (TA0004), Accès aux identifiants (TA0006), Déplacement latéral (TA0008)
7. Actions sur les objectifs	Collecte (TA0009), Exfiltration (TA0010), Impact (TA0040)

Glissez pour voir

En pratique, la kill chain sert à expliquer une attaque à un public large, et ATT&CK à travailler : cartographier une menace, construire des règles de détection, mesurer une couverture. Les limites de la première sont discutées dans la page des phases.

Quelles sont les trois matrices ?

ATT&CK ne se limite pas aux serveurs et postes de travail. Le référentiel se décline en trois matrices selon le terrain, ce qui évite de plaquer des techniques inadaptées.

• Enterprise couvre les systèmes d'entreprise : Windows, Linux, macOS, mais aussi le cloud, les conteneurs et l'identité. C'est la matrice de référence.
• Mobile cible Android et iOS, avec des techniques propres aux terminaux mobiles.
• ICS (Industrial Control Systems) concerne les systèmes industriels, où l'impact touche des équipements physiques.

À quoi sert ATT&CK concrètement ?

Le référentiel n'a d'intérêt que si l'on s'en sert. Voici les usages courants, du plus simple au plus outillé.

• Cartographier une menace : traduire un rapport d'incident en une liste de techniques donne un vocabulaire partagé entre équipes et permet de comparer deux attaques. La page Cyber Threat Intelligence montre comment ce vocabulaire alimente le renseignement.
• Detection engineering : pour chaque technique jugée pertinente, on écrit une règle de détection et on vérifie qu'elle se déclenche. ATT&CK devient la liste de courses de la détection.
• Red et purple teaming : l'équipe offensive rejoue des techniques précises, l'équipe défensive vérifie qu'elle les voit.
• Évaluer sa couverture : l'ATT&CK Navigator, application web de MITRE, colore la matrice selon ce que vous détectez ou bloquez, et révèle les angles morts à traiter en priorité.

Partez des menaces réalistes pour votre contexte (ce qu'un profil d'attaquant donné emploie), couvrez ces techniques d'abord, puis élargissez : la matrice compte des centaines de techniques, et une couverture ciblée vaut mieux qu'une couverture théorique.

Que sont les mitigations d'ATT&CK ?

Une mitigation ATT&CK est un concept de sécurité ou une classe de technologie qui empêche une technique de réussir. Chaque page de technique liste les mitigations qui s'y appliquent, ce qui fait d'ATT&CK un pont direct entre la menace et la parade. Quelques mitigations de la matrice Enterprise sont celles que vous avez rencontrées dans ce module : Authentification multifacteur (M1032), Gestion des comptes privilégiés (M1026), Segmentation du réseau (M1030), Filtrage du trafic réseau (M1037) et Sauvegarde des données (M1053).

Lire une mitigation, c'est repartir du principe : la segmentation ou le moindre privilège ne sont pas des idées abstraites, ils figurent comme réponses officielles à des techniques de déplacement latéral ou d'élévation. Les mitigations disent quoi déployer, pas comment le détecter : la détection est portée par des « stratégies de détection » distinctes dans le même référentiel.

Qu'est-ce que D3FEND et à quoi le relier ?

D3FEND est la base de connaissances de contre-mesures de MITRE, construite comme le pendant défensif d'ATT&CK : là où ATT&CK nomme les techniques de l'attaquant, D3FEND nomme les techniques du défenseur, organisées en familles. La version consultée pour cette page est la 1.6.0 (d3fend.mitre.org, octobre 2026).

Ses sept familles de contre-mesures se rapprochent des réponses de Lockheed Martin et des types de mesures vus au module 1. Le rapprochement est une lecture de ce site, pas une correspondance publiée par MITRE : D3FEND n'organise pas ses contre-mesures selon les catégories « préventif », « détectif » et « correctif », ni selon les six réponses ; ses sept tactiques sont celles du tableau ci-dessous.

Famille D3FEND	Ce qu'elle regroupe	Type de mesure	Réponse la plus proche
Modéliser (Model)	Inventaires, cartographie des actifs et du réseau	Organisationnel, prépare tout le reste	Aucune des six
Durcir (Harden)	Authentification, durcissement d'applications, chiffrement	Préventif	Refuser
Isoler (Isolate)	Médiation des accès, cloisonnement réseau, exécution	Préventif	Refuser
Détecter (Detect)	Analyse de fichiers, d'identifiants, de trafic, de processus	Détectif	Détecter
Tromper (Deceive)	Environnements et objets leurres, identifiants leurres	Détectif et préventif	Tromper
Évincer (Evict)	Révocation d'identifiants, verrouillage de comptes, suppression d'objets	Correctif	Perturber
Restaurer (Restore)	Remise en état de fichiers, de configurations, de comptes	Correctif	Aucune des six

Glissez pour voir

Ce tableau répond à une question que la kill chain laisse ouverte : à partir de la réponse choisie (refuser, détecter), D3FEND fournit un catalogue de techniques pour la mettre en oeuvre. L'authentification multifacteur, par exemple, figure dans la famille Durcir ; la révocation d'identifiants, dans Évincer. Dans ce rapprochement, « ralentir » (degrade) n'a pas de famille dédiée.

Un catalogue n'est pas un plan de défense

D3FEND et les mitigations ATT&CK listent ce qui existe, pas ce qui est adapté à votre contexte. Le travail de choix reste le vôtre : partir d'une menace réaliste, retenir les contre-mesures proportionnées, puis les typer comme sur la page Types de mesures.

ATT&CK dans le référentiel SOCLE

Le référentiel SOCLE rattache chaque menace à des techniques ATT&CK, pour montrer contre quoi un contrôle protège. L'exigence de chiffrement du stockage de données cloud cite par exemple la technique T1530 : le contrôle existe parce que cette technique est employée pour exfiltrer des buckets mal protégés. Le domaine Runtime et exploitation s'appuie de même sur des techniques d'évasion et de persistance.

Lire un code ATT&CK dans une exigence, c'est donc comprendre la menace concrète qu'elle adresse. ATT&CK fournit le pourquoi, le socle le quoi faire, les guides du site le comment. Les identifiants de techniques des exigences datent parfois d'une version antérieure : un code absent de la v20 se retrouve par son intitulé sur le site MITRE.

Quels pièges éviter ?

ATT&CK est puissant, mais mal utilisé il devient un tableau de bord trompeur. Trois erreurs reviennent souvent.

• Viser 100 % de la matrice : beaucoup de techniques ne concernent pas votre environnement. La pertinence prime sur l'exhaustivité.
• Confondre couverture et détection réelle : colorier une case dans le Navigator ne prouve rien tant que la règle n'a pas été testée face à la technique. Une couverture déclarée n'est pas une couverture prouvée.
• Oublier le contexte et la version : une même technique se détecte différemment sur un poste Windows, dans un cluster Kubernetes ou dans le cloud, et un identifiant ou un nom de tactique peut changer d'une version à l'autre.

À retenir

1. ATT&CK est un référentiel de comportements d'attaquants fondé sur l'observation, versionné : cette page se rapporte à la v20 d'octobre 2026.

2. Trois niveaux de vocabulaire : la tactique (pourquoi), la technique (comment) et la sous-technique (variante), organisés en matrice.

3. La matrice Enterprise v20 compte quinze tactiques, dont Furtivité et Altération des défenses, issues de l'ancienne « Defense Evasion ».

4. Chaque phase de la kill chain se rattache à une ou plusieurs tactiques ; la kill chain raconte, ATT&CK outille.

5. Les mitigations relient une technique à sa parade : MFA, moindre privilège, segmentation, sauvegarde.

6. ATT&CK Navigator révèle vos angles morts, mais une couverture n'est réelle que testée.

7. D3FEND est le catalogue de contre-mesures : ses familles se rapprochent des six réponses et des types de mesures, par une lecture qui reste celle de ce site.

8. Le SOCLE relie ses exigences à des techniques ATT&CK : le code technique dit la menace, l'exigence dit la parade.

Contrôle de connaissances

Six questions tirées sur huit : les tactiques et techniques d'ATT&CK, les mitigations, le Navigator et la place de D3FEND.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →