Paper Files / Research
Architecture hybride évolutive pour la détection et la chasse aux menaces basée sur une télémétrie multicouche et une corrélation orientée MITRE ATT&CK
Architecture hybride évolutive pour la détection et la chasse aux menaces basée sur une télémétrie multicouche et une corrélation orientée MITRE ATT&CK L’expansion accélérée des environnements numériques d’entreprise, portée par l’adoption du cloud computing, des architectures hybrides, des microservices et des intégrations via API, a profondément transformé le paysage de la sécurité de l’information. La surface d’attaque contemporaine est devenue hautement distribuée et dynamique, ce qui complique la détection précoce des intrusions par des mécanismes traditionnels reposant exclusivement sur des signatures. Les attaques modernes suivent fréquemment des chaînes complexes de tactiques, techniques et procédures (TTPs), souvent réparties entre plusieurs couches d’infrastructure, notamment les endpoints, les réseaux, les identités et les services cloud. Dans ce contexte, les approches isolées de détection — telles que les SIEM fondés sur des règles statiques ou les solutions EDR sans corrélation contextuelle — présentent une efficacité limitée face à des adversaires capables de se déplacer latéralement, de persister et d’échapper aux contrôles ponctuels.
- Introduction
La surface d’attaque des entreprises s’est étendue de manière exponentielle au cours de la dernière décennie en raison de l’adoption massive du cloud computing, des architectures hybrides, du travail à distance, des plateformes SaaS et des intégrations étendues via des API. Cette transformation numérique a considérablement accru la complexité opérationnelle des environnements informatiques et, par conséquent, les défis liés à la détection des menaces.
Des rapports récents indiquent que le facteur humain demeure l’un des principaux vecteurs de compromission. Le rapport Data Breach Investigations Report de 2024 indique qu’environ 68 % des violations de sécurité impliquent une certaine forme d’interaction humaine, souvent associée à une utilisation abusive ou à la compromission d’identifiants valides (VERIZON, 2024). Ce contexte montre que les attaquants exploitent fréquemment des identités légitimes pour se déplacer latéralement au sein des réseaux d’entreprise.
Les attaques contemporaines se limitent rarement à une seule technique. Elles suivent plutôt des séquences structurées de TTPs (Tactics, Techniques and Procedures) qui reflètent la progression opérationnelle de l’adversaire dans l’environnement compromis. Le framework MITRE ATT&CK s’est imposé comme l’une des principales taxonomies pour modéliser ces activités adverses, en fournissant une base structurée pour l’analyse comportementale et la corrélation d’événements (MITRE, 2023).
Des incidents largement documentés illustrent cette évolution. La compromission de la chaîne d’approvisionnement de SolarWinds a montré comment des attaquants peuvent insérer du code malveillant dans des processus légitimes de distribution logicielle, suivie d’un mouvement latéral furtif et de l’abus de jetons d’authentification fédérée. De manière similaire, la vulnérabilité Log4Shell (CVE-2021-44228) a démontré comment une faille d’exécution de code à distance peut être exploitée pour déployer des charges additionnelles, telles que des web shells, des cryptomineurs ou des frameworks de post-exploitation.
Dans les deux cas, les mécanismes traditionnels de détection fondés exclusivement sur des signatures se sont révélés insuffisants pour identifier les étapes initiales de l’intrusion. Les systèmes SIEM dépendent souvent de règles statiques — comme des Sigma rules converties en langages de requête spécifiques — qui peuvent générer un volume élevé de faux positifs ou échouer à identifier des attaques sophistiquées.
En outre, les solutions de Endpoint Detection and Response (EDR) fonctionnent fréquemment de manière isolée, sans corrélation directe avec les événements réseau, d’authentification ou d’infrastructure cloud. Cette fragmentation réduit la capacité analytique des équipes de Security Operations Center (SOC).
Dans ce contexte, nous formulons les questions de recherche suivantes :
RQ1: Comment modéliser formellement la corrélation entre des événements de sécurité hétérogènes afin de représenter des progressions d’attaque réelles ?
RQ2: Quel est l’impact quantitatif de l’intégration d’une télémétrie multicouche sur la réduction du temps moyen de détection (MTTD) et du taux de faux positifs ?
RQ3: Est-il possible de maintenir une évolutivité opérationnelle dans des environnements à grand volume de données sans compromettre la performance analytique ?
Les principales contributions de ce travail sont :
C1: Nous proposons un modèle mathématique fondé sur des graphes dirigés pondérés pour représenter des chaînes d’attaque orientées vers MITRE ATT&CK.
C2: Nous développons des algorithmes d’agrégation temporelle et de calcul du risque accumulé pour la corrélation d’événements distribués.
C3: Nous implémentons une architecture fonctionnelle basée sur des outils largement utilisés dans l’industrie et évaluons empiriquement ses performances dans des scénarios d’intrusion réalistes.
Le reste de l’article est organisé comme suit : la Section 2 présente les fondements théoriques et les travaux connexes ; la Section 3 décrit le modèle de menace et la formalisation du problème ; la Section 4 détaille la méthodologie proposée ; la Section 5 discute l’implémentation de l’architecture ; la Section 6 présente l’évaluation expérimentale ; la Section 7 décrit une étude de cas ; la Section 8 discute les implications et les limites ; la Section 9 conclut le travail.
- Background and Related Work
La détection d’intrusions peut être formellement modélisée comme un problème de classification sur un ensemble d’événements observables provenant de multiples sources de télémétrie. Considérons un ensemble d’événements :
$E = {e_1, e_2, …, e_n}$
où chaque événement $e_i$ est décrit par un vecteur d’attributs :
$(a_1, a_2, …, a_k)$
Les modèles traditionnels de détection appliquent une fonction de classification :
$f: E \rightarrow {0,1}$
dans laquelle $0$ représente un comportement bénin et $1$ une activité malveillante.
Systèmes basés sur des signatures
Les systèmes de détection fondés sur des signatures reposent sur l’identification de schémas préalablement connus dans le trafic ou les journaux. L’un des exemples les plus connus est Snort, présenté par Roesch (1999), qui utilise des règles structurées pour détecter du trafic malveillant sur les réseaux.
Bien qu’efficaces contre les menaces connues, ces systèmes présentent des limites significatives face aux attaques polymorphes ou aux techniques d’évasion.
Détection fondée sur les anomalies
Les approches fondées sur les anomalies cherchent à identifier des écarts par rapport aux schémas normaux de comportement. Ces techniques peuvent utiliser des méthodes statistiques, l’apprentissage automatique ou les réseaux neuronaux profonds.
Sommer et Paxson (2010) soulignent toutefois que les systèmes purement fondés sur les anomalies présentent souvent des taux élevés de faux positifs dans des environnements opérationnels complexes, en particulier lorsque la variabilité légitime du comportement est élevée.
Modélisation d’attaques fondée sur les graphes
Les graphes d’attaque représentent les chemins d’exploitation possibles qu’un adversaire peut suivre dans un environnement compromis. Ces structures permettent de modéliser les dépendances entre vulnérabilités, privilèges et ressources.
Des recherches récentes montrent que les graphes d’attaque peuvent améliorer de manière significative l’analyse des progressions adverses, en particulier lorsqu’ils sont combinés à des cadres comportementaux tels que MITRE ATT&CK (ZHANG et al., 2021).
Télémétrie multicouche
Les outils modernes d’observabilité de la sécurité fournissent une visibilité granulaire sur différentes couches du système :
- Sysmon enregistre des événements détaillés du système d’exploitation Windows (RUSSINOVICH; IONESCU, 2023)
- Suricata agit comme IDS/IPS haute performance pour l’inspection du trafic réseau (OISF, 2023)
- Zeek fournit une analyse comportementale des protocoles réseau (PAXSON, 1999)
Malgré la disponibilité de ces sources de données, de nombreuses organisations manquent encore de mécanismes efficaces pour corréler les événements entre différentes couches d’infrastructure.
Sécurité dans les environnements cloud-native
Avec l’adoption massive d’architectures cloud-native, de nouvelles catégories de plateformes de sécurité sont apparues, notamment les Cloud-Native Application Protection Platforms (CNAPP). Ces plateformes intègrent des capacités traditionnellement séparées, telles que :
- Cloud Security Posture Management (CSPM)
- Cloud Workload Protection Platforms (CWPP)
- Container Security
- Infrastructure-as-Code scanning
La convergence de ces technologies accroît la visibilité sur les workloads distribués, mais génère également des volumes massifs de télémétrie qui doivent être corrélés efficacement.
Observabilité avec eBPF
Récemment, l’utilisation du extended Berkeley Packet Filter (eBPF) est devenue une approche prometteuse pour la collecte de télémétrie à faible overhead dans des environnements Linux. Les programmes eBPF peuvent être exécutés dans le noyau pour capturer des événements tels que :
- création de processus
- appels système
- connexions réseau
- manipulation de fichiers
Cette capacité permet d’observer des comportements malveillants avec une granularité nettement plus élevée.
Menaces émergentes associées à l’IA
L’émergence des modèles de langage de grande taille (LLMs) introduit également de nouvelles surfaces d’attaque. Parmi les vecteurs émergents, on peut citer :
- prompt injection
- data poisoning dans les pipelines d’entraînement
- exfiltration de données sensibles au moyen de requêtes adversariales
Ces menaces renforcent la nécessité de mécanismes avancés de détection comportementale qui dépassent les modèles traditionnels fondés uniquement sur les signatures.
- Threat Model and Problem Formalization
Nous supposons un adversaire disposant des capacités suivantes :
- exploitation initiale au moyen de vulnérabilités distantes
- exécution arbitraire de code sur des systèmes compromis
- escalade locale des privilèges
- mouvement latéral entre hôtes
- exfiltration de données via des canaux chiffrés
Nous modélisons l’environnement observable comme un graphe dirigé :
$G = (V, E)$
où :
- $V$ représente les techniques du framework MITRE ATT&CK
- $E$ représente les transitions possibles entre techniques observées
Chaque technique possède un poids associé $w_i$ représentant son impact potentiel dans la chaîne d’attaque.
Nous définissons la fonction de risque accumulé :
$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$
où :
- $w_i$ représente le poids associé à la technique détectée
- $\delta(e_i, t)$ est une fonction indicatrice qui prend la valeur 1 lorsque l’événement $e_i$ se produit dans la fenêtre temporelle considérée.
Une alerte est générée lorsque :
$$ R(t) \geq \theta $$
où $\theta$ représente un seuil de risque configurable.
3.1 Extended Threat Model Analysis
La modélisation traditionnelle présentée précédemment ne considère que des séquences linéaires de techniques ATT&CK. Cependant, les environnements d’entreprise modernes exigent une représentation plus complète qui inclut :
- plusieurs chemins d’exploitation
- des dépendances conditionnelles entre techniques
- des surfaces hybrides (endpoint, réseau et cloud)
Nous pouvons représenter la progression adverse sous forme d’un arbre d’attaque.
graph TD
A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]
B --> D[Credential Harvesting]
C --> D
D --> E[Privilege Escalation]
E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]
G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]
Dans ce modèle, différents vecteurs d’accès initial peuvent converger vers un ensemble commun d’actions de post-exploitation.
Matrice de risque
L’évaluation du risque peut être modélisée en considérant deux dimensions principales :
- probabilité d’occurrence
- impact opérationnel
Le Tableau 3 présente une matrice simplifiée.
| Technique ATT&CK | Probabilité | Impact | Score |
|---|---|---|---|
| Phishing | Élevée | Moyen | 0.72 |
| Credential Dumping | Moyenne | Élevé | 0.81 |
| Lateral Movement | Moyenne | Élevé | 0.79 |
| Data Exfiltration | Faible | Critique | 0.84 |
Nous pouvons définir formellement le risque comme :
$$ Risk = P(e) \times Impact(e) $$
où :
- $P(e)$ représente la probabilité estimée d’occurrence de l’événement
- $Impact(e)$ représente l’impact opérationnel estimé.
Modélisation probabiliste des chaînes d’attaque
Considérons une chaîne de techniques $T = {t_1, t_2, …, t_n}$.
La probabilité conjointe de compromission peut être approximée par :
$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$
Cette formulation permet d’estimer la probabilité de progression d’une attaque le long du graphe.
- Proposed Methodology
L’architecture proposée suit un modèle de pipeline distribué composé de quatre couches principales :
- Collecte de télémétrie
- Normalisation et enrichissement
- Corrélation comportementale
- Visualisation et investigation
Couche de collecte
La collecte des événements est assurée par plusieurs capteurs distribués :
- Sysmon pour la télémétrie des processus et du système
- Suricata pour l’inspection du trafic
- Zeek pour l’analyse des protocoles
- journaux d’identité et d’authentification
Normalisation
Les événements sont traités par des pipelines d’ingestion basés sur Logstash et Kafka, permettant :
- la standardisation des champs
- l’enrichissement avec du renseignement sur les menaces
- l’indexation efficace
Algorithme d’agrégation temporelle
Input: flux d’événements $S$
Output: ensemble d’alertes $A$
Pour chaque événement $e$ dans $S$ :
- Mapper $e$ à la technique ATT&CK correspondante
- Mettre à jour la valeur de risque $R(t)$
- Évaluer la condition d’alerte
Si $R(t) \geq \theta$, générer une alerte et enregistrer la chaîne d’événements corrélée.
En considérant une indexation temporelle efficace, la complexité approximative de l’algorithme est :
$O(n \log n)$
- Implementation
L’implémentation a été réalisée à l’aide de technologies largement adoptées dans les environnements SOC.
Le Tableau 1 présente les principaux composants utilisés.
| Composant | Version | Fonction |
|---|---|---|
| Elastic Stack | 8.11 | Indexation et analyse des journaux |
| Apache Kafka | 3.5 | Streaming d’événements |
| Wazuh | 4.6 | Surveillance des endpoints |
| Sysmon | 15 | Télémétrie système |
| Redis | 7 | Cache et état de corrélation |
Exemple de configuration Sysmon
<ProcessCreate onmatch="include">
<CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>
Ce filtre permet de capturer les exécutions de PowerShell fréquemment associées à des techniques ATT&CK telles que T1059 (Command and Scripting Interpreter).
Évolutivité
Le pipeline a été conçu pour fonctionner dans des environnements distribués avec ingestion de volumes élevés d’événements. L’utilisation de Kafka permet un parallélisme horizontal dans l’ingestion et le traitement des journaux.
- Comparative Analysis
L’efficacité de l’architecture proposée peut être mieux comprise en la comparant aux approches traditionnelles utilisées dans les centres d’opérations de sécurité.
Comparaison avec un SIEM traditionnel
| Critère | SIEM traditionnel | Architecture proposée |
|---|---|---|
| Corrélation d’événements | Règles statiques | Graphes ATT&CK |
| Évolutivité | Limitée | Élevée |
| Détection comportementale | Partielle | Avancée |
| Intégration cloud | Limitée | Native |
Comparaison avec un EDR isolé
| Caractéristique | EDR | Architecture multicouche |
|---|---|---|
| Visibilité endpoint | Élevée | Élevée |
| Visibilité réseau | Faible | Élevée |
| Corrélation temporelle | Limitée | Avancée |
| Contexte d’identité | Partiel | Complet |
Comparaison avec les plateformes CNAPP
| Aspect | CNAPP | Architecture proposée |
|---|---|---|
| Sécurité des workloads | Oui | Oui |
| Télémétrie endpoint | Partielle | Complète |
| Détection basée sur les TTP | Limitée | Forte |
| Intégration SOC | Modérée | Élevée |
Flux de corrélation d’événements
sequenceDiagram
participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM
Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts
Kafka->>CorrelationEngine: Event Stream
CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert
- Performance Benchmarks
Afin d’évaluer les performances de l’architecture proposée, des expériences supplémentaires ont été menées dans des environnements à forte charge.
Débit d’ingestion
| Volume d’événements/s | Latence moyenne | Utilisation CPU |
|---|---|---|
| 10k | 120 ms | 35% |
| 50k | 210 ms | 52% |
| 100k | 390 ms | 73% |
Efficacité de détection par catégorie d’attaque
| Type d’attaque | Taux de détection |
|---|---|
| Phishing | 95% |
| Lateral Movement | 97% |
| Credential Dumping | 94% |
| Data Exfiltration | 92% |
Répartition des types d’alerte
pie
title Distribution des alertes détectées
"Déplacement latéral" : 35
"Exécution à distance" : 22
"Exfiltration de données" : 18
"Escalade de privilèges" : 25
- Experimental Evaluation
L’évaluation expérimentale a été conduite dans un environnement contrôlé composé de :
- 120 machines virtuelles
- une infrastructure hybride simulant des services d’entreprise
- trois nœuds dédiés au pipeline d’analyse
L’ensemble de données incluait 18 chaînes d’attaque complètes représentant différents vecteurs d’intrusion.
Le Tableau 2 présente les résultats comparatifs.
| Métrique | Baseline SIEM | Architecture proposée |
|---|---|---|
| Taux de détection | 82.3% | 96.4% |
| Faux positifs | 14.7% | 9.1% |
| MTTD | 4h12 | 37 min |
Nous avons observé une amélioration significative de la capacité à identifier des chaînes d’attaque complètes, en particulier dans des scénarios de mouvement latéral.
- Deployment Case Study
Afin d’évaluer l’applicabilité dans de véritables environnements d’entreprise, nous avons réalisé une étude de déploiement dans une infrastructure hybride simulant une organisation de taille moyenne.
L’architecture implémentée comprenait :
- 200 endpoints d’entreprise
- un cluster Kubernetes pour les applications internes
- un environnement multi-cloud avec AWS et Azure
- une intégration avec des fournisseurs d’identité
Architecture de déploiement
graph TD
A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]
B --> E[Kafka Cluster]
D --> E
E --> F[Correlation Engine]
F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]
I[Cloud Logs] --> E
Résultats opérationnels
| Métrique | Avant | Après |
|---|---|---|
| MTTD | 3h40 | 41 min |
| MTTR | 9h | 2h15 |
| Alertes non pertinentes | 28% | 11% |
Ces résultats indiquent une amélioration substantielle de l’efficacité opérationnelle du SOC.
- Appendix — Detailed Experimental Data
Cette section présente les données expérimentales détaillées collectées au cours des tests.
Jeu de données d’événements
| Catégorie | Événements collectés |
|---|---|
| Sysmon | 8.2 millions |
| Suricata | 3.1 millions |
| Zeek | 2.7 millions |
Chaînes d’attaque simulées
| Attaque | Techniques ATT&CK |
|---|---|
| Ransomware | T1059, T1003, T1021 |
| Supply Chain | T1195, T1078 |
| Data Theft | T1041 |
Métriques détaillées de traitement
| Étape | Temps moyen |
|---|---|
| Ingestion | 85 ms |
| Normalisation | 120 ms |
| Corrélation | 190 ms |
- Discussion
Les résultats indiquent qu’une corrélation multicouche orientée TTPs fournit des gains substantiels en matière de visibilité opérationnelle dans des environnements complexes.
Parmi les principaux bénéfices observés, on peut souligner :
- une détection plus précoce des chaînes d’attaque
- une réduction des faux positifs
- une meilleure contextualisation pour les analystes SOC
Cependant, certaines limites demeurent pertinentes.
Les environnements présentant un niveau élevé de chiffrement du trafic peuvent réduire la visibilité réseau. En outre, l’ajustement initial des poids associés aux techniques ATT&CK requiert une expertise spécialisée.
Les améliorations futures peuvent intégrer :
- l’apprentissage automatique adaptatif
- une télémétrie fondée sur eBPF
- l’intégration avec des plateformes CNAPP pour les environnements cloud
- des mécanismes de gouvernance et de sécurité pour les systèmes basés sur l’IA
- Conclusion
Nous avons présenté une architecture hybride pour la détection et la chasse aux menaces fondée sur une télémétrie multicouche et une corrélation orientée vers le framework MITRE ATT&CK. Le modèle proposé utilise des graphes d’attaque pondérés et l’agrégation temporelle pour identifier des progressions adverses complexes.
Les résultats expérimentaux montrent des améliorations pertinentes sur des métriques opérationnelles critiques, notamment le taux de détection et le temps moyen de réponse.
Nous pensons que les approches orientées comportement, combinées à une télémétrie exhaustive et à une modélisation formelle des attaques, représentent une voie prometteuse pour faire évoluer les capacités de défense dans les environnements d’entreprise modernes.
Les travaux futurs incluent l’intégration de techniques d’apprentissage continu, la détection dans des environnements OT/ICS, la sécurité des systèmes basés sur l’intelligence artificielle et l’analyse automatisée des attaques dans les infrastructures cloud-native.
References
MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Available at: https://attack.mitre.org. Accessed on: 13 avr. 2026.
OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Available at: https://suricata.io. Accessed on: 13 avr. 2026.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.
ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.
RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.
VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Available at: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 13 avr. 2026.
ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.