1. À propos des APT
Une APT, pour Advanced Persistent Threat, désigne une menace informatique sophistiquée dans laquelle un attaquant disposant généralement de ressources importantes cherche à obtenir puis à maintenir un accès prolongé à un système d'information ciblé.
Contrairement à de nombreuses attaques opportunistes et automatisées, une APT est généralement orientée vers une cible déterminée et poursuit des objectifs précis sur une période pouvant être relativement longue.
Les opérateurs cherchent souvent à agir discrètement afin d'éviter la détection et de conserver leur présence dans l'environnement compromis.
Signification du terme APT
- Advanced : l'opération peut employer plusieurs techniques et outils adaptés à la cible.
- Persistent : l'attaquant cherche à maintenir son accès pendant une durée prolongée et peut tenter de revenir après une interruption.
- Threat : il s'agit d'une menace organisée disposant d'une intention, de capacités et de ressources.
Qui peut être ciblé ?
Les attaques APT peuvent viser des organisations dont les informations, activités ou infrastructures présentent une valeur stratégique.
- administrations publiques ;
- entreprises technologiques ;
- organismes de recherche ;
- infrastructures critiques ;
- institutions financières ;
- entreprises industrielles ;
- opérateurs de télécommunications ;
- organisations de défense ;
- établissements d'enseignement ou de recherche.
APT et attaque classique
| Critère | Attaque opportuniste | APT |
|---|---|---|
| Cible | Souvent nombreuses victimes potentielles | Organisation ou secteur spécifiquement ciblé |
| Durée | Souvent relativement courte | Potentiellement longue |
| Préparation | Parfois limitée ou automatisée | Souvent importante |
| Discrétion | Variable | Souvent essentielle |
| Objectif | Variable | Souvent stratégique et durable |
Le terme APT peut également être utilisé pour désigner certains groupes de menace suivis par les chercheurs en cybersécurité. Les noms et numéros attribués à ces groupes peuvent cependant varier selon les organismes qui les étudient.
2. Caractéristiques et objectifs d'une APT
Une Advanced Persistent Threat se distingue notamment par sa capacité à combiner plusieurs techniques et à adapter progressivement ses opérations aux défenses rencontrées.
Ciblage précis
Les opérateurs peuvent étudier leur cible avant de tenter une intrusion. Ils cherchent à comprendre son organisation, ses technologies, ses utilisateurs et les informations susceptibles de présenter un intérêt.
Persistance
La persistance correspond à la capacité d'un attaquant à conserver ou à retrouver un accès à l'environnement ciblé. La défense doit donc rechercher non seulement le point d'entrée initial, mais également les différents mécanismes qui pourraient permettre le maintien d'un accès.
Discrétion
Une opération APT cherche souvent à limiter les signes visibles de compromission. Une activité trop bruyante pourrait déclencher des alertes et provoquer l'expulsion de l'attaquant.
Adaptation
Les attaquants peuvent modifier leurs techniques en fonction des mesures de sécurité rencontrées. Une opération peut donc évoluer progressivement au cours du temps.
Objectifs possibles
Les objectifs varient selon les acteurs et les organisations ciblées. Ils peuvent notamment inclure :
- l'espionnage ;
- le vol de propriété intellectuelle ;
- l'accès à des informations stratégiques ;
- la collecte de documents confidentiels ;
- la surveillance de certaines activités ;
- la préparation d'autres opérations ;
- dans certains cas, le sabotage ou la perturbation d'activités.
APT et cyberespionnage
Les notions d'APT et de cyberespionnage sont souvent associées. Une opération d'espionnage informatique cherche principalement à obtenir discrètement des informations présentant une valeur stratégique.
Cependant, toutes les opérations APT n'ont pas nécessairement exactement le même objectif et toutes les opérations de cyberespionnage ne doivent pas automatiquement être qualifiées d'APT.
3. Principales étapes d'une attaque APT
Une campagne APT peut être analysée comme une succession de phases. Dans la réalité, ces étapes ne suivent pas toujours un ordre strict : certaines peuvent être répétées, contournées ou réalisées simultanément.
Reconnaissance
La première phase peut consister à collecter des informations sur la cible. Les attaquants cherchent notamment à comprendre son environnement et à identifier des possibilités d'accès.
Accès initial
L'accès initial correspond au premier accès obtenu dans l'environnement ciblé. Il peut résulter, par exemple, d'une campagne de phishing, de l'utilisation d'identifiants compromis ou de l'exploitation d'une vulnérabilité.
Établissement d'une présence
Après l'accès initial, l'attaquant peut chercher à conserver une présence dans l'environnement. Les équipes de sécurité doivent donc rechercher des changements inhabituels dans les comptes, services, applications et configurations.
Élévation des privilèges
Un accès initial peut disposer de permissions limitées. L'attaquant peut alors chercher à obtenir des privilèges supplémentaires afin d'accéder à davantage de ressources.
Découverte de l'environnement
L'attaquant peut tenter de comprendre l'organisation interne du système compromis : utilisateurs, machines, applications, ressources et données accessibles.
Mouvement latéral
Le mouvement latéral désigne le déplacement d'un attaquant entre différents systèmes d'un réseau compromis. L'objectif peut être d'atteindre progressivement les ressources présentant le plus d'intérêt.
Collecte des données
Les informations recherchées peuvent être identifiées puis regroupées avant une éventuelle exfiltration.
Exfiltration
L'exfiltration correspond au transfert non autorisé de données en dehors de l'environnement contrôlé par l'organisation.
Maintien de l'accès
Une caractéristique importante d'une APT est la volonté de conserver l'accès suffisamment longtemps pour poursuivre ses objectifs. Les défenseurs doivent donc considérer la possibilité que plusieurs mécanismes de compromission existent simultanément.
Représentation simplifiée
- Reconnaissance de la cible.
- Obtention d'un accès initial.
- Établissement d'une présence.
- Recherche de privilèges supplémentaires.
- Découverte de l'environnement.
- Mouvement latéral.
- Collecte des informations recherchées.
- Exfiltration éventuelle des données.
- Maintien ou renouvellement de l'accès.
Des référentiels tels que MITRE ATT&CK permettent aux équipes de sécurité d'organiser et d'étudier de nombreuses tactiques et techniques observées lors d'intrusions réelles.
4. Détection et indicateurs de compromission
La détection d'une APT peut être difficile, notamment parce que les attaquants cherchent souvent à se fondre dans l'activité normale du système. Les équipes de sécurité doivent donc corréler différents événements provenant des postes, serveurs, comptes et équipements réseau.
Indicateurs de compromission
Un IOC, pour Indicator of Compromise, est un élément pouvant contribuer à révéler une compromission.
Selon l'incident, les IOC peuvent notamment inclure :
- des empreintes de fichiers malveillants ;
- des domaines ou adresses réseau associés à une activité malveillante ;
- des fichiers inhabituels ;
- des processus suspects ;
- des comptes créés sans justification ;
- des connexions inhabituelles ;
- des modifications inattendues du système.
Indicateurs comportementaux
Les indicateurs comportementaux sont également importants. Une technique d'attaque peut rester pertinente même lorsque les fichiers, domaines ou adresses utilisés par l'attaquant ont changé.
Les équipes peuvent rechercher, par exemple, des authentifications inhabituelles, des accès anormaux à des ressources sensibles, des transferts de données inattendus ou des activités administratives ne correspondant pas aux habitudes normales.
Analyser un journal d'authentification
Le programme Python suivant utilise des événements entièrement fictifs afin d'illustrer une analyse défensive simple. Il compte les échecs d'authentification associés à chaque compte. Une quantité élevée d'échecs peut justifier une investigation, mais ne prouve pas à elle seule l'existence d'une attaque.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 | evenements = [ ("alice", "echec"), ("bob", "succes"), ("alice", "echec"), ("alice", "echec"), ("charles", "succes"), ("alice", "echec") ] echecs = {} for utilisateur, resultat in evenements: if resultat == "echec": if utilisateur not in echecs: echecs[utilisateur] = 0 echecs[utilisateur] += 1 for utilisateur, nombre in echecs.items(): print(utilisateur, ":", nombre, "échec(s)") |
Sortie :
1 | alice : 4 échec(s) |
Dans un environnement réel, cette information devrait être corrélée avec d'autres éléments tels que l'heure, l'adresse source, la machine concernée et l'historique habituel du compte.
Détecter une activité inhabituelle
Le programme suivant illustre une règle pédagogique de surveillance. Une alerte est générée lorsqu'un compte se connecte à une heure considérée comme inhabituelle dans cet exemple. Une telle règle doit être adaptée au contexte réel de l'organisation afin d'éviter de nombreux faux positifs.
1 2 3 4 5 6 | utilisateur = "compte_demo" heure = 3 if heure < 6: print("Alerte : connexion à une heure inhabituelle") else: print("Horaire considéré comme habituel") |
Sortie :
1 | Alerte : connexion à une heure inhabituelle |
Corréler plusieurs événements
Un événement isolé n'est pas toujours significatif. Le programme suivant montre comment plusieurs observations fictives peuvent être regroupées dans un rapport afin de faciliter une investigation humaine.
1 2 3 4 5 6 7 8 9 | observations = { "echecs_authentification": 12, "connexion_inhabituelle": True, "nouveau_compte": False, "transfert_inhabituel": True } print("RAPPORT DE SURVEILLANCE") for evenement, valeur in observations.items(): print(evenement, ":", valeur) |
Sortie :
1 2 3 4 5 | RAPPORT DE SURVEILLANCE echecs_authentification : 12 connexion_inhabituelle : True nouveau_compte : False transfert_inhabituel : True |
Une véritable plateforme de surveillance peut traiter un volume beaucoup plus important d'événements et utiliser des règles de corrélation, des informations de contexte et des mécanismes de détection plus avancés.
Outils de détection
Plusieurs catégories de solutions peuvent contribuer à identifier une activité associée à une APT :
- SIEM pour centraliser et corréler les événements ;
- EDR pour surveiller les postes et serveurs ;
- NDR pour analyser certaines activités réseau ;
- IDS/IPS pour détecter ou bloquer certaines activités réseau ;
- solutions de Threat Intelligence ;
- outils d'analyse forensique ;
- plateformes de gestion des incidents.
5. Protection et réponse face aux APT
La défense contre les APT nécessite une approche de défense en profondeur. Une organisation ne doit pas supposer qu'un antivirus ou un pare-feu suffira à empêcher toutes les intrusions.
Réduire la surface d'attaque
Les systèmes et services inutiles doivent être désactivés ou supprimés lorsque cela est possible. Les applications exposées doivent être correctement configurées et régulièrement mises à jour.
Installer les correctifs
Les vulnérabilités connues doivent être corrigées dans des délais adaptés à leur niveau de risque. Une gestion efficace des correctifs réduit les possibilités d'exploitation de failles déjà documentées.
Authentification multifacteur
L'authentification multifacteur peut limiter les conséquences du vol d'un mot de passe en exigeant un facteur supplémentaire.
Principe du moindre privilège
Les utilisateurs et services doivent disposer uniquement des permissions nécessaires à leurs fonctions. Cette mesure peut limiter les possibilités d'élévation de privilèges et de mouvement latéral.
Segmentation du réseau
La segmentation réseau permet de séparer différentes ressources et de contrôler les communications entre elles. Elle peut limiter les déplacements d'un attaquant après une compromission initiale.
Surveillance continue
Les événements importants doivent être centralisés et analysés. Une surveillance continue permet de détecter plus rapidement certains comportements anormaux.
Sauvegardes
Des sauvegardes régulières, isolées et testées contribuent à la résilience de l'organisation, notamment lorsqu'un incident provoque la destruction ou le chiffrement de données.
Sensibilisation des utilisateurs
Les utilisateurs doivent être formés à reconnaître les tentatives de phishing, les pièces jointes inhabituelles, les demandes suspectes et les autres formes d'ingénierie sociale.
Threat Hunting
Le Threat Hunting consiste à rechercher activement dans un environnement des signes de compromission qui n'ont pas nécessairement déclenché d'alerte automatique.
Cette approche est particulièrement pertinente face aux menaces persistantes capables de rester discrètes pendant une longue période.
Réponse à incident
Lorsqu'une APT est suspectée, une organisation doit appliquer une procédure structurée de réponse à incident.
- Identifier et qualifier l'incident.
- Préserver les éléments nécessaires à l'investigation.
- Déterminer les systèmes et comptes affectés.
- Contenir la compromission.
- Identifier les mécanismes de persistance.
- Éradiquer les éléments malveillants identifiés.
- Corriger les vulnérabilités exploitées.
- Réinitialiser les identifiants compromis lorsque cela est nécessaire.
- Restaurer progressivement les systèmes.
- Renforcer la surveillance après restauration.
- Documenter l'incident et améliorer les défenses.
Pourquoi éviter une réaction précipitée ?
Lors d'une intrusion complexe, la suppression immédiate d'un seul fichier suspect ne garantit pas l'élimination de la menace. D'autres comptes, machines ou mécanismes de persistance peuvent avoir été compromis.
Une investigation structurée permet de mieux déterminer l'étendue réelle de l'incident avant de considérer l'environnement comme assaini.
6. À retenir
Une APT, ou Advanced Persistent Threat, est une menace sophistiquée et persistante généralement dirigée contre une cible déterminée afin d'atteindre des objectifs stratégiques.
Une opération APT peut s'étendre sur une longue période. Les attaquants cherchent souvent à maintenir leur accès tout en limitant les signes susceptibles de provoquer leur détection.
Une campagne peut comprendre plusieurs phases : reconnaissance, accès initial, établissement d'une présence, élévation des privilèges, découverte, mouvement latéral, collecte et éventuellement exfiltration de données.
La détection ne doit pas reposer uniquement sur des signatures de fichiers. Les équipes de sécurité doivent également analyser les comportements, les journaux, les authentifications, les communications réseau et les changements inhabituels.
Les IOC peuvent aider à identifier une compromission, tandis que l'analyse des tactiques et techniques permet de détecter des comportements même lorsque les infrastructures ou fichiers utilisés par l'attaquant évoluent.
Des technologies telles que les SIEM, EDR, NDR et systèmes IDS/IPS peuvent contribuer à la détection et à l'investigation, mais elles doivent être accompagnées de procédures et de compétences adaptées.
La protection contre les APT repose sur une stratégie de défense en profondeur comprenant notamment les correctifs de sécurité, l'authentification multifacteur, le moindre privilège, la segmentation réseau, la surveillance continue, les sauvegardes et la sensibilisation des utilisateurs.
Enfin, lorsqu'une APT est suspectée, l'organisation doit adopter une démarche structurée de réponse à incident afin d'identifier l'étendue de la compromission, contenir l'attaque, supprimer les mécanismes de persistance et restaurer les systèmes en toute sécurité.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
