Threat Modeling pour la détection (SOC)
Pour le cadre général (4 questions de Shostack, DFD, STRIDE, DREAD, PASTA, arbres d’attaque, CVSS, intégration SDLC), voir la note canonique
[[Threat Modeling]]. Cette note se concentre sur l’usage défensif du threat modeling côté SOC : transformer un modèle de menace en couverture de détection.
Côté SOC, le threat modeling ne sert pas à concevoir un système sécurisé mais à répondre à une question opérationnelle : « contre quelles techniques d’attaque sommes-nous capables de détecter, et où sont nos angles morts ? »
De STRIDE/DFD vers la détection§
- Partir des trust boundaries du DFD (cf.
[[Threat Modeling]]) : ce sont les points où une attaque devient observable (entrée utilisateur → backend, internet → DMZ). - Pour chaque menace STRIDE identifiée, se demander quel artefact de log elle produirait (event Windows, log proxy, NetFlow, télémétrie EDR).
- Vérifier qu’une règle de détection existe pour cet artefact — sinon, c’est un angle mort à combler. Voir
[[Detection Engineering]]et[[Sigma]].
MITRE ATT&CK Navigator comme carte de couverture§
C’est l’outil central du threat modeling défensif (mitre-attack.github.io/attack-navigator/) :
- Cartographier en heatmap les techniques (TTP) que l’on sait détecter aujourd’hui.
- Superposer le profil d’un acteur de menace pertinent (cf.
[[APT et Acteurs de la Menace]]et[[Threat Intelligence]]) pour prioriser : on couvre d’abord les techniques des adversaires qui nous ciblent réellement. - Le différentiel entre « ce que fait l’adversaire » et « ce qu’on détecte » donne la feuille de route de détection.
Priorisation par le risque§
Le SOC priorise ses efforts de détection avec les mêmes outils que la note canonique — CVSS, matrice probabilité × impact, et les stratégies de traitement (mitigate / transfer / accept / avoid) — mais appliqués à la capacité de détection plutôt qu’à la vulnérabilité elle-même : une technique à fort impact et fréquemment utilisée par les APT du secteur passe en tête du backlog de detection engineering.
Voir aussi§
[[Threat Modeling]]— cadre général (conception sécurisée, frameworks)[[Detection Engineering]],[[Sigma]],[[Threat Hunting]][[Threat Intelligence]],[[APT et Acteurs de la Menace]]