Assume Breach (présumer la compromission).

Assume Breach (« présumer la compromission ») est une philosophie opérationnelle de sécurité popularisée par Microsoft au milieu des années 2010, aujourd'hui la posture par défaut des programmes matures et des architectures Zero Trust. Plutôt que de traiter la prévention comme la défense principale et la détection comme un filet de sécurité, un programme assume-breach conçoit l'environnement comme si l'adversaire avait déjà pris pied et se demande comment la détection, le confinement, la reprise et la limitation du rayon d'impact tiendront. Concrètement, cela impose : la microsegmentation du réseau pour contraindre les déplacements latéraux, une architecture centrée sur l'identité (chaque requête authentifiée et autorisée), la détection et réponse sur les terminaux (EDR) partout, une journalisation centralisée avec une rétention assez longue pour détecter réellement les campagnes lentes, des exercices réguliers de red team et de purple team contre l'environnement en production (et pas seulement en laboratoire), des playbooks de confinement automatisés (isoler l'hôte, faire tourner les clés, tuer la session) et des répétitions de reprise (sauvegardes immuables, chemins alternatifs pour maintenir l'activité). La campagne SolarWinds/SUNBURST de 2020 (suivie sous le nom UNC2452) est l'argument canonique de cette posture : une mise à jour logicielle piégée a donné à l'acteur des mois d'accès non détecté au sein de réseaux durcis en prévention, et les organisations qui s'en sont le mieux sorties sont celles qui surveillaient déjà les comportements anormaux d'identité et de déplacement latéral plutôt que de faire confiance au périmètre. Les rapports M-Trends de longue date de Mandiant suivent le dwell time médian mondial — l'intervalle entre l'intrusion et la détection — passé de plus de 400 jours il y a dix ans à environ 10 ces dernières années ; les contrôles assume-breach (télémétrie EDR, détection comportementale, segmentation stricte) sont la principale raison de cette baisse continue.

Assume Breach est un principe fondateur de NIST SP 800-207 Zero Trust Architecture, de la DoD Zero Trust Strategy américaine, du NCSC Cyber Assessment Framework britannique et de la plupart des programmes de sécurité modernes.

flowchart LR
  A[Présumer que l'adversaire<br/>est déjà présent] --> B[Microsegmenter le réseau<br/>limiter le mouvement latéral]
  A --> C[Authentifier + autoriser<br/>chaque requête]
  A --> D[EDR + journalisation centralisée<br/>partout]
  D --> E[Détecter identité / mouvement<br/>anormaux]
  E --> F[Confinement automatisé<br/>isoler, faire tourner les clés, tuer la session]
  F --> G[Restaurer depuis des<br/>sauvegardes immuables]
  G --> H[Purple team en production<br/>réinjecter les leçons]
  H --> A