Le malentendu
Un référentiel n'est pas une méthode
Les trois référentiels sont souvent présentés comme concurrents, avec l'idée qu'il faudrait « choisir son framework ». C'est un contresens : ils ne répondent pas à la même question. Les comparer pour en élire un, c'est comparer une carte routière, un dictionnaire et une montre.
| Référentiel | Sa question | Sa force | Sa limite |
|---|---|---|---|
| NIST 800-61 | Quand et dans quel ordre agir ? | Cycle de vie complet, de la préparation au RETEX ; parle aussi au management | Aucun contenu technique : il ne dit pas quoi chercher dans les logs |
| MITRE ATT&CK | Que fait concrètement l'attaquant ? | Vocabulaire commun de 200+ techniques, pivots d'investigation concrets | Pas de séquencement : c'est un dictionnaire, pas un déroulé |
| Kill chain | Où en est la progression de l'attaque ? | Lecture stratégique : plus on coupe tôt, moins c'est cher | Trop grossière pour guider une investigation ; 7 maillons pour tout l'univers |
En pratique
Ce qui arrive quand on n'en a qu'un
On le voit sur le terrain, dans les incidents que nous accompagnons :
- NIST seul : l'équipe sait qu'elle est « en phase de confinement », mais personne ne sait quel artefact regarder ensuite. La procédure est respectée, l'investigation piétine.
- ATT&CK seul : l'analyste identifie brillamment T1078, T1135, T1021… mais personne n'a décidé qui prévient la direction ni quand on coupe. Le diagnostic est juste, la réponse est désordonnée.
- Kill chain seule : on sait que l'attaquant « est en phase 5 », ce qui n'aide ni à le trouver ni à l'expulser.
L'assemblage
Trois couches, une méthode
La combinaison que notre labo a retenue, et qui structure les smart playbooks ARTEFACT, superpose les trois référentiels comme des couches, chacune à son altitude :
- **Couche squelette (NIST).** Le playbook suit les phases 800-61 : détection, analyse, confinement, éradication, rétablissement, RETEX. C'est l'ordre des chapitres, et le langage du reporting.
- **Couche contenu (ATT&CK).** À l'intérieur de chaque phase, les questions et les pivots sont exprimés en techniques ATT&CK. « Analyser » devient : quelles techniques sont confirmées, lesquelles sont probables juste après ?
- **Couche boussole (kill chain).** La position de l'attaque sur la chaîne pilote l'urgence. Découverte = fenêtre d'action ; exfiltration entamée = tout change, y compris les obligations de notification.
3
référentiels
chacun à son altitude : phases, techniques, progression
1
trame unique
l'analyste ne jongle pas entre trois documents, la méthode est fusionnée dans le playbook