Chasse aux menaces sur réseaux classifiés : hypothèses, télémétrie, savoir-faire

Une alerte est quelque chose qu'un contrôle sait déjà reconnaître. Une chasse aux menaces est l'inverse : c'est la recherche délibérée de l'activité adverse que vos contrôles ne savent pas encore reconnaître. Sur un réseau classifié – une enclave qui traite des informations de sécurité nationale, souvent coupée d'Internet et des flux de renseignement commerciaux par un air-gap – la chasse n'est pas un palier de maturité optionnel. C'est le seul moyen de compenser le fait que les adversaires les plus capables visant les réseaux de défense se spécialisent dans le contournement des détections mêmes que ces réseaux déploient. Cet article parcourt la chasse guidée par hypothèses, la télémétrie qui la rend possible, le savoir-faire consistant à réduire le bruit au signal, et la boucle d'ingénierie de détection qui transforme une découverte ponctuelle en couverture permanente – le tout sous les contraintes propres à une enclave classifiée.

Ce qu'est réellement la chasse aux menaces

La chasse aux menaces est proactive et guidée par hypothèses. Le chasseur part de l'hypothèse qu'un adversaire est peut-être déjà présent et non détecté, puis formule une affirmation spécifique et réfutable sur la manière dont cet adversaire pourrait opérer et la teste contre la télémétrie. C'est l'inverse du flux de travail du centre d'opérations de sécurité, où un analyste réagit à une alerte déclenchée par une règle. La chasse n'a aucune alerte déclenchante ; le chasseur fabrique la question.

Cette distinction compte sur le plan opérationnel. La détection automatisée couvre les techniques que vous avez anticipées suffisamment bien pour écrire une règle. Le risque résiduel réside dans tout ce que vous n'avez pas anticipé : les nouvelles chaînes de living-off-the-land, l'abus d'identifiants qui ressemble à une administration ordinaire, et l'activité lente et de faible volume calibrée pour rester sous les seuils d'alerte. La chasse est la discipline qui explore systématiquement cet espace résiduel. Sur un réseau classifié, l'espace résiduel est plus vaste et plus dangereux, car les adversaires ont les moyens d'étudier et de vaincre la logique de détection publiée et parce que le réseau voit rarement le maliciel grand public, large et bruyant, qui occupe un SOC commercial. Silencieux ne veut pas dire sain.

Un modèle mental utile est celui des trois styles de chasse. Les chasses guidées par le renseignement partent d'une tactique ou d'une campagne adverse rapportée et se demandent si ce comportement est présent localement. Les chasses guidées par hypothèses partent du raisonnement propre du défenseur sur la manière dont une technique se manifesterait dans l'environnement. Les chasses guidées par la base de référence partent de l'anomalie : ce qui est rare, ce qui est nouveau, ce qui s'écarte de la norme établie. Les programmes matures mènent les trois, mais sur une enclave air-gap les deuxième et troisième dominent, car le premier dépend d'un flux régulier de renseignement externe frais que l'enclave ne peut pas recevoir librement.

Télémétrie : on ne peut chasser que ce que l'on voit

Aucune chasse ne survit au contact de données manquantes. Avant qu'une hypothèse vaille la peine d'être formulée, le chasseur doit savoir quelles sources d'événements existent, combien de temps elles sont conservées, et si elles sont complètes. Les sources fondamentales d'une enclave de défense sont constantes d'un programme à l'autre.

Télémétrie des terminaux. Création de processus avec lignes de commande complètes, lignée parent-enfant des processus, chargements de modules, modifications de registre et création de tâches planifiées. Un capteur tel que Sysmon ou un agent de détection et de réponse sur les terminaux fournit cela. Les données de ligne de commande et parent-enfant constituent la source de plus grande valeur pour la chasse, car la majorité des techniques d'intrusion se manifestent sous la forme d'un processus inhabituel qui s'exécute ou d'un processus inattendu qui en engendre un autre.

Télémétrie d'authentification et d'annuaire. Demandes de tickets Kerberos, authentification NTLM, événements de type d'ouverture de session et modifications du service d'annuaire. Le mouvement latéral et l'abus d'identifiants – le cœur d'une intrusion persistante – sont surtout visibles ici. Des schémas comme un compte unique s'authentifiant auprès d'un nombre anormal d'hôtes, ou des demandes de tickets aux types de chiffrement anormaux, sont des pivots de chasse classiques.

Télémétrie réseau et de résolution de noms. Enregistrements de flux, journaux de résolution DNS internes et journaux de proxy. Même sur un réseau air-gap, le beaconing interne, le trafic est-ouest inhabituel et la résolution de noms internes inexistants ou nouvellement créés sont des signaux significatifs.

Télémétrie de frontière et inter-domaines. C'est là que l'enclave classifiée diffère le plus nettement d'un réseau commercial. Toute donnée entrant dans une enclave air-gap ou en sortant doit franchir une frontière contrôlée – une solution inter-domaines, une diode de données, ou un transfert de support amovible journalisé. Ces frontières sont obligatoires, et elles sont journalisées. Pour un chasseur, c'est un cadeau : l'introduction d'outils et l'exfiltration de données doivent franchir un petit nombre de points d'étranglement auditables, de sorte que l'espace de recherche du « comment est-ce entré ou sorti » est bien plus restreint que sur un réseau connecté à Internet. Les considérations architecturales correspondantes sont abordées dans notre note sur les plateformes de renseignement de qualité défense qui alimentent les indicateurs à travers ces frontières.

Chasser sous les contraintes air-gap

La contrainte définissant une enclave classifiée est l'isolement. Il n'y a aucune connexion en direct à un flux commercial de renseignement sur les menaces, aucun marché de contenu de détection hébergé dans le cloud, aucune recherche de réputation ou de bac à sable à la demande. Les indicateurs de compromission et les règles de détection n'arrivent que lorsqu'ils sont transférés via une solution inter-domaines approuvée, selon une cadence mesurée en heures ou en jours plutôt qu'en secondes. Au moment où un indicateur d'adresse IP ou de hachage de fichier atterrit dans l'enclave, il peut déjà être périmé.

Cela remodèle la stratégie de chasse de deux manières. Premièrement, elle pousse le programme vers le haut de la pyramide de la douleur – loin des indicateurs atomiques que les adversaires changent à moindre coût, et vers les tactiques, techniques et procédures qu'il est coûteux pour un adversaire de modifier. La détection comportementale d'une technique vieillit bien plus lentement qu'un hachage ou un domaine, ce qui est exactement la propriété recherchée lorsque votre rafraîchissement de renseignement est bridé par un calendrier de transfert. Deuxièmement, elle accorde une prime à une solide base de référence interne. Lorsque vous ne pouvez pas demander au monde extérieur si quelque chose est mauvais, vous devez pouvoir répondre « est-ce normal pour nous ? » à partir de votre propre télémétrie historique. La mise en place d'une base de référence – quels processus s'exécutent sur quels hôtes, quels comptes touchent quels systèmes, à quoi ressemble le volume normal de transferts inter-domaines – devient le substitut du contexte externe.

L'outillage doit aussi résider entièrement à l'intérieur de l'enclave. La plateforme de chasse, son moteur de requêtes, sa rétention de données et son dépôt de contenu de détection s'exécutent tous du côté client de la frontière, identiques en esprit à tout autre déploiement SIEM et SOAR sur infrastructure classifiée. Il n'est pas question de joindre un back-end d'analytique SaaS en pleine chasse. Concevez pour le fonctionnement hors ligne comme une exigence de premier ordre, non comme une réflexion après coup.

Réalités de rétention et de stockage

La chasse a besoin d'historique. Un adversaire pratiquant des opérations patientes et de faible volume peut toucher un hôte une seule fois et ne pas revenir avant des semaines, de sorte qu'une fenêtre de rétention de quelques jours rend des classes entières d'hypothèses impossibles à tester. Sur une enclave classifiée, le stockage est fréquemment contraint par les frontières d'accréditation et la capacité physique plutôt que par le seul coût, ce qui force des compromis délibérés : conserver les sources à haute valeur et faible volume telles que les événements de création de processus et d'authentification pendant de nombreux mois, tout en échantillonnant ou en résumant les sources à fort volume comme les données de flux brutes. Le chasseur doit savoir exactement quelles sources sont conservées assez longtemps pour soutenir les hypothèses de présence longue, car une chasse qui s'exécute silencieusement sur une fenêtre partielle produit une fausse confiance – le pire résultat possible sur un réseau où le coût d'une intrusion manquée se mesure en informations de sécurité nationale compromises.

Le savoir-faire d'une chasse

Le travail pratique d'une chasse est la réduction : transformer des millions d'événements bénins en un petit ensemble examinable sans écarter celui qui importe. Les techniques sont bien établies.

Empilement et analyse de fréquence

Agrégez un champ sur l'ensemble du parc et triez par rareté. Empilez les noms de tâches planifiées, les chemins de chargement de binaires signés, les paires de processus parent-enfant, ou les événements de création de service, et la longue traîne des entrées comptées-à-un est l'endroit où l'activité suspecte se concentre. Le comportement ubiquitaire est rarement l'intrusion ; le rare vaut un regard humain. L'analyse de fréquence est le cheval de bataille de la chasse précisément parce que le savoir-faire adverse, aussi soigné soit-il, tend à être statistiquement inhabituel face à une grande base de référence.

Pivots comportementaux plutôt que correspondance d'indicateurs

Plutôt que de demander « ce hachage correspond-il à une liste connue-malveillante », demandez « quel processus a écrit un exécutable dans un répertoire inscriptible par l'utilisateur puis l'a enregistré pour la persistance ». Les questions comportementales survivent au remplacement de l'outillage par l'adversaire, et elles survivent à la cadence lente de renseignement d'un réseau air-gap. Une bonne requête de chasse encode une technique, non un artefact.

Délimitation et documentation disciplinées

Lorsqu'un candidat semble suspect, le chasseur pivote : même compte sur d'autres hôtes, même binaire ailleurs, même fenêtre temporelle sur l'ensemble du parc. Le but est de délimiter pleinement l'activité avant de déclarer un incident, afin que la réponse aux incidents – traitée en profondeur dans notre article sur la réponse aux incidents cyber militaires – hérite d'une chronologie complète plutôt que d'un hôte unique. Il est tout aussi important de documenter les constats bénins-mais-rares. Un outil d'administration rare qui s'avère légitime devrait être consigné afin que la prochaine chasse ne le réinvestigue pas, et afin que la base de référence s'améliore.

Ingénierie de détection : boucler la boucle

Une chasse qui trouve quelque chose puis oublie comment elle l'a trouvé a gaspillé l'essentiel de sa valeur. L'ingénierie de détection est la discipline qui convertit une chasse réussie en une logique de détection durable, testée et versionnée. La boucle est simple : une chasse génère une hypothèse et, en la prouvant, produit des exemples étiquetés du comportement. Ce comportement est encodé en une règle, la règle est validée contre des données connues-saines et connues-malveillantes pour quantifier ses taux de faux positifs et de vrais positifs, et c'est seulement alors qu'elle est promue dans le pipeline de surveillance de production via le processus de gestion du changement que l'enclave impose.

Traiter les détections comme des artefacts d'ingénierie – stockés en gestion de versions, revus, testés avant déploiement, et retirés lorsqu'ils se dégradent – est ce qui empêche une équipe de chasse de redécouvrir manuellement la même technique chaque trimestre. Cela maintient aussi la couche automatisée en croissance au rythme du modèle de menace : chaque chasse qui réussit devrait laisser derrière elle une pièce de couverture permanente de plus, de sorte que les chasseurs humains soient continuellement libérés pour explorer un espace résiduel réellement nouveau plutôt que de reparcourir un terrain que les règles possèdent désormais.

La mesure du programme découle de cette boucle. Le décompte brut des détections est une métrique de titre trompeuse sur une enclave silencieuse. De meilleures mesures sont la couverture des techniques MITRE ATT&CK pertinentes, le nombre de détections validées promues par trimestre, le temps moyen pour investiguer une hypothèse, et la réduction du temps de présence pour tout incident qui survient – conjointement avec les résultats négatifs documentés qui constituent l'assurance.

Pour le contexte plus large de gestion des incidents que nourrit une chasse, consultez notre article complémentaire sur la criminalistique numérique dans la réponse aux incidents cyber militaires.