Une cyberattaque n'est pas un coup de chance : c'est une progression méthodique où chaque étape prépare la suivante. La Cyber Kill Chain, publiée par Lockheed Martin en 2011, décompose une intrusion en 7 phases, de la collecte d'informations jusqu'à l'atteinte de l'objectif final. L'idée est simple et puissante : interrompre l'attaque à une phase peut suffire à empêcher l'attaquant d'aller au bout. Ce module de la formation vous apprend à nommer ces phases, à placer un contrôle à chacune et à choisir quelle réponse lui donner. Aucun prérequis, sinon les types de mesures vus dans le module précédent.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »La kill chain est le premier modèle mental à acquérir pour raisonner en défenseur. Concrètement, vous saurez :
- Nommer les 7 phases d'une intrusion avec leurs noms officiels et dire ce qui se joue à chacune.
- Associer à chaque phase un contrôle et le classer : préventif, détectif ou correctif.
- Choisir parmi les six réponses de Lockheed Martin (détecter, refuser, perturber, ralentir, tromper, détruire) celle qui convient à un contrôle.
- Expliquer pourquoi une détection précoce coûte moins cher qu'une détection tardive.
- Citer les limites du modèle, et savoir où continuer avec MITRE ATT&CK et le modèle de menaces SOCLE.
La kill chain, une chaîne à briser
Section intitulée « La kill chain, une chaîne à briser »Le mot chaîne n'est pas décoratif : chaque phase dépend de la précédente. L'attaquant doit d'abord connaître sa cible avant de préparer son outil, livrer cet outil avant de l'exploiter, obtenir un accès avant de le rendre persistant (le conserver même après un redémarrage ou un changement de mot de passe). Cette dépendance est une bonne nouvelle pour le défenseur, car casser un maillon interrompt la séquence en cours.
Ce modèle vient du monde militaire, où une kill chain décrit les étapes d'une frappe : trouver la cible, la viser, tirer. Lockheed Martin l'a transposé aux intrusions informatiques pour donner aux équipes de défense un vocabulaire partagé et une grille de lecture des incidents. Son intérêt principal est pédagogique : il raconte une attaque comme une histoire linéaire, facile à expliquer à des équipes techniques comme à des dirigeants.
Chaque phase représente donc une opportunité de détection et de blocage. Une défense solide ne mise pas sur une barrière unique, mais empile des contrôles à chaque étape, une approche appelée défense en profondeur. Si le filtrage des e-mails laisse passer un piège, l'antivirus, la surveillance système ou l'analyse réseau peuvent encore stopper l'attaque plus loin dans la chaîne.
Quelles sont les 7 phases de la kill chain ?
Section intitulée « Quelles sont les 7 phases de la kill chain ? »Les sept phases portent des noms officiels, que l'on retrouve dans tous les rapports d'incident : Reconnaissance, Weaponization (armement), Delivery (livraison), Exploitation, Installation, Command and Control (commande et contrôle, noté C2) et Actions on Objectives (actions sur les objectifs). Regardez le schéma de gauche à droite : chaque flèche est un maillon, et les exemples sous chaque phase montrent ce que l'attaquant y fait.
Le module détaille ces phases dans l'ordre. La reconnaissance collecte des informations sur la cible, l'armement fabrique la charge (le programme ou le fichier piégé qui causera le dommage), la livraison la transmet, l'exploitation la déclenche. L'installation la rend persistante, le Command and Control permet de la piloter à distance, et les actions sur les objectifs produisent le dommage. Lisez-les dans l'ordre la première fois : la logique de progression est plus parlante que chaque phase isolée.
Un contrôle défensif par phase
Section intitulée « Un contrôle défensif par phase »Chaque phase se contre par des mesures spécifiques. Ce tableau associe à chaque étape un contrôle qui a de bonnes chances de la détecter ou de la bloquer, et indique son type au sens de la page Types de mesures. Il sert de grille de lecture : face à un incident, vous repérez à quelle phase il en est, donc quels contrôles ont failli et lesquels peuvent encore jouer.
| Phase | Contrôle défensif | Type | Objectif du contrôle |
|---|---|---|---|
| Reconnaissance | Réduire l'exposition publique | Préventif | Compliquer la collecte d'informations |
| Reconnaissance | Surveiller les scans | Détectif | Savoir qu'on est observé |
| Armement | Renseignement sur la menace, blocage des sources connues | Préventif | Anticiper l'outil de l'attaquant |
| Livraison | Filtrage e-mail, proxy web | Préventif | Empêcher la charge d'arriver |
| Exploitation | Correctifs à jour, contrôle d'exécution | Préventif | Refuser l'exécution de code |
| Exploitation | EDR | Détectif | Voir le comportement anormal |
| Installation | HIDS, surveillance des modifications système | Détectif | Repérer la persistance |
| Command & Control | Analyse réseau, blocage des flux suspects | Détectif et préventif | Couper le pilotage à distance |
| Actions | DLP, segmentation | Préventif | Limiter l'exfiltration |
| Actions | Sauvegardes isolées | Correctif | Rétablir après l'impact |
Un rappel de vocabulaire utile ici : un EDR (Endpoint Detection and Response) surveille le comportement des postes et serveurs ; un HIDS (Host Intrusion Detection System) détecte les modifications suspectes d'un système ; un DLP (Data Loss Prevention) empêche la fuite de données sensibles. Ces briques ne se remplacent pas, elles se complètent phase après phase.
Quelles sont les six réponses possibles à chaque phase ?
Section intitulée « Quelles sont les six réponses possibles à chaque phase ? »Dans l'article qui a publié la kill chain, Lockheed Martin ne s'arrête pas au découpage en phases : il reprend six réponses possibles (courses of action), empruntées à la doctrine des opérations d'information du département américain de la Défense, et croise phases et réponses dans une matrice. Un contrôle n'a pas le même effet selon ce qu'on lui demande de faire : voir l'attaque, la refuser, l'interrompre, la ralentir, la fausser ou la détruire.
| Réponse (terme anglais) | Ce qu'elle fait | Type de mesure | Exemple |
|---|---|---|---|
| Détecter (detect) | Voir l'activité de l'attaquant | Détectif | Journaux d'audit relus, alerte du HIDS |
| Refuser (deny) | Empêcher l'action d'aboutir | Préventif | Règle de pare-feu, correctif appliqué |
| Perturber (disrupt) | Interrompre l'action en cours | Préventif, ou correctif si l'intrusion est déjà établie | Antivirus qui bloque l'exécution, isolation d'une machine atteinte |
| Ralentir (degrade) | Réduire l'efficacité de l'attaque | Préventif ou correctif | Limitation de débit, mise en file d'attente |
| Tromper (deceive) | Induire l'attaquant en erreur | Selon le dispositif : un pot de miel est aussi détectif, une redirection DNS vers un leurre est surtout préventive | Pot de miel, redirection DNS |
| Détruire (destroy) | Neutraliser l'infrastructure adverse | Hors du périmètre d'une entreprise | Action judiciaire ou étatique |
La colonne « Type de mesure » est une lecture de ce site, pas une classification de l'article : Lockheed Martin ne range pas ses six réponses dans les catégories préventif, détectif et correctif, et sa matrice laisse d'ailleurs la colonne « détruire » vide. Les exemples (HIDS, pare-feu, proxy, antivirus en ligne, file d'attente, pot de miel) viennent de cette matrice ou s'en inspirent. Les types dissuasif et compensatoire de la page Types de mesures n'ont pas de ligne ici : une bannière d'avertissement, par exemple, dissuade sans entrer dans aucune des six réponses.
Lisez ce tableau comme un menu : pour une même phase, plusieurs lignes s'appliquent. À la livraison, un utilisateur averti détecte, un proxy refuse, un antivirus perturbe. Combiner plusieurs réponses sur la même phase, c'est ce qui donne de la profondeur à la défense. Les deux premières lignes, détecter et refuser, couvrent l'essentiel du quotidien d'une équipe.
Détecter est la seule de ces réponses qui n'arrête rien par elle-même. Une alerte protège à condition qu'une réponse suive : quelqu'un qui la lit et la traite (un traitement des alertes avec des astreintes), un blocage automatique pour les cas les plus nets, la révocation des identifiants touchés. Une alerte levée un soir et lue trois jours plus tard n'a rien empêché, alors que l'outil a fonctionné. Le délai entre l'alerte et l'action est donc la mesure qui compte.
Détecter tôt coûte moins cher
Section intitulée « Détecter tôt coûte moins cher »Le principe le plus important de la kill chain tient en une phrase : plus une attaque est détectée tôt, moins elle fait de dégâts. Tant que l'attaquant n'a pas d'accès, l'impact reste théorique ; une fois qu'il agit, les pertes peuvent devenir irréversibles.
- Phases 1 à 3 : l'attaquant prépare et livre son attaque, mais n'a aucun accès. La détection à ce stade a un impact quasi nul sur votre système.
- Phases 4 et 5 : l'accès est obtenu, la persistance s'installe, mais l'objectif n'est pas encore atteint. Le confinement reste possible.
- Phases 6 et 7 : l'attaquant pilote son intrusion et frappe. Chiffrement par rançongiciel, exfiltration, sabotage : les dégâts sont potentiellement définitifs.
C'est pourquoi investir dans les premières phases est souvent plus rentable que d'empiler des outils de dernière ligne. Réduire sa surface d'attaque et sensibiliser au hameçonnage peuvent couper la chaîne avant même que l'attaquant ait un pied dans la porte.
Quelles sont les limites du modèle Lockheed ?
Section intitulée « Quelles sont les limites du modèle Lockheed ? »La kill chain d'origine a un défaut assumé : elle est linéaire et périmétrique. Elle décrit bien une intrusion externe classique, mais les attaques réelles sautent des phases, les répètent, ou commencent de l'intérieur.
- Linéarité : un attaquant qui achète des identifiants valides démarre directement à l'accès, sans reconnaissance ni exploitation visible. La belle séquence en 7 étapes ne colle plus.
- Focus périmétrique : le modèle raisonne comme si la menace venait de l'extérieur. Il décrit mal les menaces internes, les attaques par la chaîne d'approvisionnement ou l'usage d'outils légitimes détournés comme les LOLBAS et les GTFOBins.
- Âge du modèle : conçu en 2011, il n'anticipait pas le déplacement latéral dans le cloud, ni les techniques modernes d'évasion. Il laisse aussi un trou entre l'installation et l'objectif final : ce que l'attaquant fait une fois dedans, traité dans Après l'intrusion.
Ces limites ne rendent pas la kill chain inutile, elles cadrent son usage : elle reste un excellent point d'entrée pour expliquer une attaque. Pour décrire des comportements précis et construire des règles de détection, la formation passe ensuite au référentiel MITRE ATT&CK, qui rattache chaque phase à ses tactiques.
À retenir
Section intitulée « À retenir »-
La kill chain décompose une attaque en 7 phases (Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command and Control, Actions on Objectives) : une chaîne dont chaque maillon dépend du précédent.
-
Chaque phase est une opportunité défensive : casser un maillon peut empêcher l'attaquant d'atteindre son objectif par ce chemin.
-
Un contrôle se classe : préventif, détectif ou correctif, selon le moment où il agit.
-
Six réponses existent (détecter, refuser, perturber, ralentir, tromper, détruire) ; la dernière n'est pas à la portée d'une organisation privée, sauf par la voie judiciaire.
-
La détection précoce limite les dégâts : investir dans les phases 1 à 3 est souvent plus rentable que d'empiler des outils de dernière ligne.
-
Le modèle est linéaire et périmétrique : il décrit mal les menaces internes, la chaîne d'approvisionnement et les outils légitimes détournés.
-
Une détection ne protège que si une réponse suit : une alerte non traitée n'arrête rien, et le délai entre l'alerte et l'action est ce qui compte.
-
Le pont vers la suite : MITRE ATT&CK détaille les comportements, et le modèle de menaces SOCLE relie ces menaces à des exigences concrètes.