Beaucoup de règles, aucune carte
La question qu'un dirigeant ou un auditeur finit toujours par poser est simple : « contre quoi sommes-nous couverts ? » Et la réponse honnête d'une équipe qui n'a pas cartographié est : « on ne sait pas exactement ». On connaît le nombre de règles, le volume d'alertes, parfois le taux de faux positifs, mais pas la forme de la couverture.
Mapper règle par règle, en trois passes
Le mapping n'est pas un projet de six mois. C'est un exercice itératif qui se fait en trois passes :
- **Passe 1, l'évidence.** Chaque règle dont le nom cite déjà une technique (brute force, PowerShell encodé, création de compte…) reçoit son ID ATT&CK. Couvre 50 à 60 % du parc en quelques heures.
- **Passe 2, la source de données.** Pour les règles restantes, partez de ce que la règle observe (logs d'authentification, DNS, EDR process…) et croisez avec les data sources documentées par MITRE pour chaque technique.
- **Passe 3, l'arbitrage.** Les règles génériques (anomalie de volume, seuil…) couvrent plusieurs techniques faiblement. Notez-les comme couverture partielle, jamais comme couverture pleine.
Ce dernier point est le cœur de la discipline : le mapping doit distinguer « j'ai une règle qui peut voir ça » de « j'ai une règle conçue pour détecter ça ». Confondre les deux produit une carte rassurante et fausse.
Trois erreurs qui rendent la carte inutile
| Piège | Ce que ça produit | Le correctif |
|---|---|---|
| Compter les règles, pas la qualité | Une case « couverte » par une règle désactivée ou noyée de faux positifs | Pondérer chaque mapping par l'état réel de la règle (active, bruit, testée) |
| Cartographier une fois | Une carte musée, périmée au premier changement d'infra | Faire du mapping un champ obligatoire à la création de chaque règle |
| Viser 100 % de la matrice | Des règles cosmétiques créées pour colorier des cases | Prioriser les techniques des groupes qui ciblent votre secteur |
Une carte se lit par chemins, pas par cases
Une fois la matrice colorée, la mauvaise lecture est de compter les cases vertes. La bonne lecture est de suivre les chemins d'attaque : un attaquant enchaîne accès initial → exécution → persistance → mouvement latéral → exfiltration. Si votre couverture est excellente sur l'exécution mais nulle sur le mouvement latéral, l'attaquant n'a qu'à passer la première porte discrètement ; ensuite, il est invisible.
C'est exactement la lecture qu'ARTEFACT donne en natif : chaque alerte est positionnée sur la matrice, et la couverture s'affiche par tactique avec les trous en évidence. Pas pour la beauté du dashboard, pour décider quelle règle écrire ensuite.