Qu'est-ce que la « cyber kill chain » ? Étapes, exemples et comment la perturber

Chaque cyberattaque suit un parcours bien défini. L'attaquant doit s'introduire dans le système, s'y implanter, se déplacer au sein de l'environnement et, enfin, atteindre son objectif. Ce parcours n'est pas aléatoire. Il suit une séquence d'étapes identifiables, et la « chaîne de destruction cybernétique » offre aux équipes de sécurité un cadre leur permettant de comprendre précisément à quoi ressemble cette séquence et à quel moment elle peut être interrompue.

Pour les prestataires de services gérés (MSP) et les équipes informatiques chargées de protéger des environnements complexes et distribués, la « kill chain » est bien plus qu’un simple modèle théorique. Il s’agit d’un outil pratique permettant de mettre en correspondance les contrôles de sécurité avec le déroulement réel d’une attaque et d’identifier les failles de couverture qui exposent les entreprises à des risques. Des outils tels que Datto EDR, Kaseya SIEM et Kaseya MDR sont conçus pour contrer les attaquants à plusieurs étapes de cette chaîne, avant que les dégâts n’atteignent les stades les plus difficiles à réparer.

Qu'est-ce que la « cyber kill chain » ?

La « cyber kill chain » est un cadre conceptuel qui décrit les différentes étapes d’une cyberattaque, depuis la reconnaissance initiale jusqu’à la réalisation de l’objectif final par l’attaquant. Elle a été mise au point par Lockheed Martin en 2011, en s’inspirant du concept militaire de « kill chain », qui décompose un engagement contre l’ennemi en étapes identifiables pouvant chacune être ciblées et neutralisées.

En cybersécurité, ce modèle remplit la même fonction. En comprenant la séquence que doit suivre un attaquant, les équipes de sécurité peuvent identifier, à chaque étape, les points de contrôle où l'attaque peut être détectée, ralentie ou stoppée complètement. Un attaquant bloqué à la deuxième étape n'atteindra jamais la cinquième. Un attaquant détecté à la quatrième étape peut être maîtrisé avant d'atteindre la septième.

À l'origine, ce cadre a été conçu pour répondre aux menaces persistantes avancées (APT) : des attaques sophistiquées et de longue durée menées par des adversaires disposant de moyens importants et qui planifient minutieusement leurs actions avant de passer à l'acte. Il reste particulièrement adapté à ces types de menaces, même si sa logique s'applique de manière générale à la façon dont les équipes de sécurité envisagent les défenses en plusieurs couches face à toute attaque structurée.

Les 7 étapes de la chaîne d'attaque cybernétique

Le modèle initial de Lockheed Martin définit sept étapes successives. Chaque étape correspond à un moment où les défenseurs peuvent intervenir.

Étape 1 : Reconnaissance

Avant de lancer une attaque, le pirate recueille des informations sur sa cible. Il s'agit notamment d'identifier les données accessibles au public concernant l'infrastructure de l'organisation, les adresses e-mail des employés, les offres d'emploi qui révèlent les technologies utilisées, les profils sur les réseaux sociaux et tout système accessible depuis l'extérieur susceptible de servir de point d'entrée.

La reconnaissance peut être passive, en recourant à des sources d'informations ouvertes (OSINT) sans intervenir directement sur les systèmes de la cible, ou active, consistant à rechercher les ports ouverts, à identifier les versions logicielles et à détecter les vulnérabilités. Plus un attaquant recueille d'informations à ce stade, plus l'attaque qui suivra sera précise et convaincante.

Approche défensive : surveillance des activités de balayage externes, limitation des informations techniques accessibles au public et contrôle des systèmes destinés aux employés qui sont exposés à Internet.

Étape 2 : Transformation en arme

L'attaquant utilise les informations recueillies lors de la phase de reconnaissance pour créer ou assembler sa charge utile d'attaque. Cela implique généralement la création de fichiers malveillants conçus pour exploiter une vulnérabilité spécifique identifiée dans l'environnement de la cible. Un document de hameçonnage contenant une macro qui déploie un cheval de Troie d'accès à distance, un fichier PDF malveillant exploitant une vulnérabilité du lecteur ou un « dropper » qui installe un rançongiciel lors de son exécution sont autant d'exemples de « weaponization ».

Les défenseurs ont rarement une visibilité directe sur cette étape, puisqu'elle se déroule entièrement sur une infrastructure contrôlée par l'attaquant. L'objectif ici est de réduire la surface d'attaque mise en évidence par la phase de reconnaissance : corriger rapidement les vulnérabilités connues permet de neutraliser les moyens d'attaque que l'attaquant comptait utiliser.

Étape 3 : Livraison

L'attaquant transmet la charge utile malveillante à la cible. Le courrier électronique est le vecteur de diffusion le plus courant, par le biais de campagnes de phishing contenant des pièces jointes ou des liens malveillants. Parmi les autres méthodes de diffusion, on peut citer les sites web compromis qui provoquent des téléchargements automatiques, les clés USB malveillantes, les mises à jour de logiciels tiers compromis (attaques de la chaîne d'approvisionnement) et l'exploitation de services exposés sur Internet.

Axons-nous sur la défense : le filtrage des e-mails, le filtrage Web, la protection DNS et la sensibilisation des utilisateurs à la sécurité interviennent tous au stade de la diffusion. Bloquer la diffusion avant que la charge utile n'atteigne un appareil constitue la mesure défensive la plus efficace qui soit, car elle empêche toutes les étapes suivantes de se produire.

Étape 4 : Exploitation

Une fois que la charge utile atteint sa cible, elle s'exécute et exploite une vulnérabilité pour obtenir un accès initial. Il peut s'agir d'une vulnérabilité logicielle dans une application non mise à jour, d'un exploit de navigateur déclenché par la consultation d'une page malveillante ou d'une macro s'exécutant dans un document Office après que l'utilisateur a cliqué sur « Activer le contenu ».

C'est à ce stade que l'attaquant passe de l'extérieur à l'intérieur de l'environnement. L'exploitation est l'étape que les outils de détection au niveau des terminaux sont spécifiquement conçus pour détecter : l'analyse comportementale identifie l'activité anormale des processus qui suit une exploitation réussie, même lorsque la vulnérabilité elle-même n'était pas connue à l'avance.

Étape 5 : Installation

Une fois l'accès initial établi, le pirate installe un logiciel malveillant persistant ou une porte dérobée afin de maintenir sa présence même si le point d'entrée d'origine est fermé. Parmi les mécanismes de persistance courants, on peut citer la création de clés d'exécution dans le registre, l'installation de tâches planifiées, l'ajout d'entrées de démarrage ou le déploiement d'un cheval de Troie d'accès à distance qui communique avec une infrastructure de commande et de contrôle contrôlée par le pirate.

L'objectif est de survivre à un redémarrage, à un changement de mot de passe ou à un correctif comblant la vulnérabilité d'origine. En l'absence d'installation persistante, l'attaquant perd l'accès dès la fin de la session. Les outils EDR dotés d'une télémétrie continue des terminaux sont particulièrement aptes à détecter les modifications du registre, les nouvelles tâches planifiées et la création de processus inhabituels qui caractérisent cette étape.

Étape 6 : Commandement et contrôle (C2)

Le logiciel malveillant installé établit un canal de communication vers une infrastructure contrôlée par le pirate. Grâce à ce canal, le pirate peut envoyer des commandes, recevoir des données, déployer des outils supplémentaires et diriger à distance les phases suivantes de l'attaque. Le trafic C2 est souvent dissimulé sous la forme d'un trafic Web légitime, acheminé via des services cloud courants ou chiffré afin d'échapper à la détection.

Cette étape offre une opportunité cruciale de détection. La communication C2 doit franchir les limites du réseau, ce qui signifie que les outils de surveillance réseau et le filtrage DNS peuvent la détecter. Un terminal compromis dont le canal C2 est bloqué ne peut pas être piloté davantage. Son isolement à ce stade permet de contenir l'incident avant que la propagation latérale ne commence.

Étape 7 : Actions liées aux objectifs

Au cours de la dernière étape, l'attaquant met son plan à exécution. Pour les attaquants animés par des motivations financières, cela se traduit généralement par le déploiement d'un rançongiciel et le chiffrement des données, l'exfiltration de données à des fins d'extorsion ou de vente, ou encore la fraude financière. Les acteurs étatiques peuvent quant à eux se livrer à des activités d'espionnage, à la destruction de systèmes critiques ou à l'obtention d'un accès persistant à long terme en vue d'une utilisation future.

Il s'agit de la phase la plus préjudiciable et la plus coûteuse à surmonter. Les attaques qui parviennent à affecter des cibles nécessitent une réponse complète aux incidents : enquête informatique, reconstruction des systèmes, notification éventuelle aux autorités réglementaires et gestion de la réputation. L'objectif premier de toutes les mesures qui précèdent cette phase dans une stratégie défensive est de veiller à ce que l'attaquant n'en arrive jamais là.

Exemple de chaîne d'attaque cybernétique : une attaque par ransomware

Passer en revue les sept étapes à travers un exemple concret de menace permet d'illustrer le fonctionnement du modèle dans la pratique :

1. Reconnaissance : L'attaquant identifie une entreprise manufacturière de taille moyenne grâce à une offre d'emploi mentionnant une version spécifique d'un logiciel ERP présentant une vulnérabilité connue. Il effectue également une recherche sur LinkedIn pour recueillir les noms des employés et les formats de leurs adresses e-mail.
2. Exploitation : à partir des données des employés, ils rédigent un e-mail de hameçonnage en se faisant passer pour un fournisseur, auquel ils joignent un document qui exploite la faille de sécurité du système ERP et qui, une fois exécuté, installe un cheval de Troie d'accès à distance.
3. Mode d'attaque : L'e-mail de hameçonnage est envoyé à un employé du service des comptes fournisseurs. Il parvient à contourner les filtres de messagerie car le domaine de l'expéditeur est une imitation très convaincante et la pièce jointe n'est pas signalée comme un hachage malveillant connu.
4. Exploitation : l'employé ouvre la pièce jointe. La macro du document s'exécute, exploitant la vulnérabilité et lançant une commande PowerShell qui télécharge le cheval de Troie depuis un serveur contrôlé par le pirate.
5. Installation : le cheval de Troie s'installe sous la forme d'une tâche planifiée, configurée pour persister après les redémarrages. Il commence à envoyer des signaux vers l'infrastructure C2 toutes les quelques minutes via HTTPS.
6. Commande et contrôle : l'attaquant vérifie qu'il a bien accès au système, déploie des outils permettant d'extraire les identifiants, puis passe plusieurs jours à se déplacer latéralement dans l'environnement, en cartographiant les partages de fichiers et les systèmes de sauvegarde avant de passer à l'action.
7. Actions menées pour atteindre les objectifs : l'attaquant déploie simultanément un rançongiciel sur l'ensemble du réseau à partir de plusieurs terminaux compromis. Le chiffrement des fichiers commence sur des dizaines de systèmes avant même qu'une alerte ne se déclenche.

Le fait de briser cette chaîne à la troisième étape (filtrage des e-mails bloquant l'envoi de l'e-mail de hameçonnage), à la quatrième étape (détection par l'EDR de l'exécution de PowerShell) ou à la sixième étape (filtrage DNS bloquant la balise C2) aurait permis, dans chaque cas, d'empêcher le résultat final. Plus l'attaquant progresse dans la chaîne avant d'être détecté, plus la réponse devient coûteuse et complexe.

« Cyber kill chain » et MITRE ATT&CK : quelle est la différence ?

Ces deux cadres décrivent le comportement des attaquants, mais ils opèrent à des niveaux de détail différents et répondent à des objectifs distincts.

La « cyber kill chain » est un modèle séquentiel de haut niveau. Elle décrit les grandes phases d’une attaque dans l’ordre, ce qui la rend utile pour la planification stratégique, la compréhension du déroulement d’une attaque et la communication avec des parties prenantes non techniques. Ses sept étapes fournissent aux équipes de sécurité un vocabulaire commun pour déterminer à quel stade du cycle de vie d’une attaque une menace a été détectée ou à quel moment les défenses ont échoué.

MITRE ATT&CK est une base de connaissances détaillée et mise à jour en permanence, qui recense les tactiques, techniques et procédures (TTP) des attaquants. Plutôt que de présenter sept phases séquentielles, elle répertorie des centaines de techniques spécifiques classées par tactique, issues d’attaques réelles observées. Elle n’est pas séquentielle : un attaquant peut utiliser des techniques issues de plusieurs tactiques MITRE simultanément ou dans un ordre différent, en fonction de ce qu’il rencontre.

Ces deux référentiels se complètent. La « kill chain » offre une vue d'ensemble de la progression d'une attaque. MITRE ATT&CK fournit les détails techniques sur la manière exacte dont chaque étape de cette progression est exécutée. Les équipes chargées des opérations de sécurité utilisent souvent la « kill chain » pour la communication relative aux incidents et la planification stratégique de la défense, tandis qu'elles recourent à MITRE ATT&CK pour l'ingénierie de la détection, la cartographie des alertes et l'évaluation de la couverture des outils.

Datto EDR établit une correspondance entre ses détections et le référentiel MITRE ATT&CK, ce qui signifie que les alertes sont accompagnées d'informations contextuelles sur la tactique et la technique utilisées. Cela permet de relier les détails techniques fournis par MITRE à l'étape de la chaîne d'attaque à laquelle ils se rapportent, offrant ainsi aux analystes à la fois la technique spécifique observée et sa place dans la séquence d'attaque globale.

Limites de la « cyber kill chain »

Le modèle de la « chaîne d'attaque » présente une réelle utilité, mais il comporte également des limites importantes que les équipes de sécurité doivent bien comprendre.

Ce modèle part du principe d'une attaque linéaire. Le modèle d'origine décrit une progression séquentielle de la phase 1 à la phase 7. Dans la réalité, les attaques sautent souvent des phases, en exécutent plusieurs simultanément ou reviennent sur des phases antérieures. Un attaquant disposant déjà d'identifiants obtenus lors d'une faille antérieure pourrait par exemple ignorer complètement les phases de reconnaissance et de déploiement.

Il se concentre sur les menaces liées au périmètre. Ce modèle a été conçu à une époque où les réseaux sur site présentaient des limites bien définies. Les menaces internes, les attaques natives du cloud, les accès tiers compromis et les attaques visant la chaîne d'approvisionnement ne s'inscrivent pas clairement dans la structure traditionnelle de la « kill chain ».

Il ne tient pas compte de la rapidité des attaques modernes. Le rapport 2026 « Global Incident Response Report » de l’Unit 42 a révélé que les attaques les plus rapides parviennent désormais à exfiltrer des données dans les 72 minutes suivant l’accès initial. Le modèle de la « chaîne d’attaque » (kill chain) suppose que les défenseurs ont le temps de détecter et de réagir à chaque étape. Face à des attaques automatisées qui évoluent rapidement, ce délai est souvent plus court que ne le suggère le modèle.

Cela peut donner une fausse impression de exhaustivité. Une organisation ayant mis en place des contrôles aux sept étapes de la chaîne d'attaque peut tout de même présenter des lacunes importantes si ces contrôles ne prennent pas en compte les techniques spécifiques utilisées par les attaquants à chaque étape. MITRE ATT&CK constitue un outil plus adapté pour évaluer la couverture au niveau des techniques.

En quoi la « cyber kill chain » peut-elle améliorer la sécurité ?

Malgré ses limites, la « kill chain » reste un cadre pratique pour une planification structurée de la défense. Voici comment l'appliquer :

• Répartissez vos moyens de contrôle entre chaque étape : pour chacune des sept étapes, identifiez les outils et les processus dont vous disposez pour détecter ou prévenir les activités malveillantes. Les lacunes qui apparaissent lorsque vous effectuez cet exercice révèlent les domaines dans lesquels des investissements sont nécessaires.
• Donner la priorité à la prévention dès les premières phases : plus une attaque est stoppée tôt dans la chaîne d'attaque, moins elle cause de dégâts et plus la remédiation est simple. Les mesures de contrôle au niveau de la diffusion (filtrage des e-mails, protection DNS) et de l'exploitation (application de correctifs, détection comportementale EDR) offrent le meilleur retour sur investissement, car elles empêchent toutes les étapes en aval.
• Adoptez une approche fondée sur la « chaîne d'attaque » lors de l'analyse des incidents : après tout incident de sécurité, passez en revue les étapes de la chaîne d'attaque et identifiez à quelle étape l'attaquant a été détecté, jusqu'où il a progressé avant d'être neutralisé et quels contrôles, le cas échéant, auraient permis de détecter l'attaque plus tôt. Cela permet d'aboutir à des améliorations concrètes et spécifiques, plutôt qu'à des conclusions génériques du type « renforcer la sécurité ».
• Ne vous fiez pas uniquement à la « kill chain » : complétez-la avec MITRE ATT&CK pour évaluer la couverture de la détection au niveau des techniques, ainsi qu’avec des renseignements sur les menaces qui reflètent les TTP spécifiques des adversaires ciblant votre secteur.

Comment Kaseya perturbe la chaîne d'attaque

La plateforme de sécurité de Kaseya est conçue pour permettre aux MSP et aux équipes informatiques réduites de détecter et de neutraliser simultanément les attaques à plusieurs étapes de la chaîne d'attaque, sans avoir besoin d'une importante équipe de sécurité interne pour la faire fonctionner.

Datto EDR intervient aux étapes d'exploitation, d'installation et de commande et contrôle. La surveillance comportementale détecte les exécutions anormales de processus, les mécanismes de persistance et les signaux C2, grâce à plus de 65 actions de réponse automatisées visant à isoler, mettre fin et mettre en quarantaine les menaces avant que la propagation latérale ne commence. Les détections sont mises en correspondance avec le modèle MITRE ATT&CK, ce qui fournit aux analystes un contexte immédiat leur permettant d'identifier la technique utilisée et sa place dans la séquence d'attaque.

Kaseya SIEM offre une visibilité multi-surfaces couvrant l'ensemble de la chaîne d'attaque, en corrélant les données télémétriques provenant de plus de 60 sources de données issues des terminaux, du réseau, de la gestion des identités et du cloud. Des événements qui, pris isolément, semblent sans rapport les uns avec les autres (une tentative de connexion infructueuse, le lancement d'un processus inhabituel, un trafic sortant anormal) s'assemblent pour former un schéma cohérent de chaîne d'attaque au sein d'un seul incident corrélé. La conservation des journaux pendant 400 jours permet la reconstitution forensic nécessaire pour déterminer la durée de présence de la menace et l'étendue totale de l'attaque.

Kaseya MDR intègre une équipe d'analystes qui transforme la détection en défense active. Des analystes en sécurité basés aux États-Unis surveillent votre environnement 24 heures sur 24, enquêtent sur les menaces confirmées et mettent en œuvre des mesures de confinement avant que les attaques n'atteignent des stades plus avancés, sans que vous ayez à disposer d'un centre d'opérations de sécurité (SOC) fonctionnant 24 heures sur 24, 7 jours sur 7 pour assurer ce fonctionnement.

Ensemble, ces fonctionnalités couvrent l'ensemble de la chaîne d'attaque, des terminaux au cloud, offrant ainsi aux prestataires de services gérés (MSP) et aux équipes informatiques la visibilité et la capacité de réaction nécessaires pour bloquer les attaques bien avant qu'elles n'atteignent leurs cibles.