Pattern d'attaque.

Un pattern d'attaque est une description abstraite et structurée de la démarche d'un adversaire : les étapes, prérequis et faiblesses d'une classe d'attaques, plutôt qu'un exploit unique. Le catalogue MITRE CAPEC (Common Attack Pattern Enumeration and Classification, actuellement en version 3.9) contient plus de 550 patterns organisés selon une hiérarchie d'abstractions meta, standard et detailed. Par exemple, CAPEC-66 "SQL Injection" cible la faiblesse CWE-89, et CAPEC-63 "Cross-Site Scripting" correspond à CWE-79. Chaque pattern consigne les prérequis, le niveau de compétence de l'attaquant, les conséquences probables et — surtout — les mesures d'atténuation recommandées, si bien qu'un défenseur peut passer de « nous avons observé cette technique » à « voici le changement de conception qui neutralise toute la classe ».

En threat modeling et en detection engineering, les patterns d'attaque se situent un cran au-dessus des techniques MITRE ATT&CK et fournissent un vocabulaire commun pour les exercices purple team, les revues de conception sécurisée et le partage de renseignement via STIX/TAXII (STIX 2.1 définit d'ailleurs un type d'objet attack-pattern). Ils permettent aux équipes de généraliser un incident isolé vers une classe récurrente de comportements à détecter et à prévenir — les liens CWE explicites de CAPEC bouclent la chaîne entre une technique observée et la faiblesse de code racine que les ingénieurs doivent corriger, tandis que ses champs d'atténuation alimentent directement les exigences de conception sécurisée.

flowchart TD
  A[Incident observé] --> B[Cartographier vers une technique ATT&CK]
  B --> C[Rapprocher d'un pattern d'attaque CAPEC]
  C --> D[Faiblesse CWE liée]
  C --> E[Mesures d'atténuation recommandées]
  D --> F[Corriger la cause racine dans le code]
  E --> G[Construire une règle de détection]
  F --> H[Classe entière neutralisée]
  G --> H