Depuis quelque temps, pas une semaine ne semble passer sans qu’il n’y ait un article, un billet de blog, ou un white paper sur le sujet des APT, que ce soit pour décrire des campagnes d’attaque, des groupes d’attaquants, analyser des malwares dédiés à ces attaques, ou malheureusement faire du marketing à peu de frais. Cependant, force est de constater que même les professionnels de l’IT sont parfois victimes de méconnaissances ou d’idées reçues sur cette problématique. Le but de cet article est donc d’exposer brièvement les premières bases de connaissance d'une attaque APT, son mode opératoire, et de définir un peu plus les différences entre compromissions classiques et APT.
1. APT : définition
APT est un sigle provenant des États-Unis signifiant « Advanced Persistent Threat ». Ce sigle a été fortement médiatisé à partir de 2010 suite à la campagne d’attaque « Opération Aurora » [1] dont notamment Google avait été victime.
Avant cette médiatisation intensive, le sigle existait pourtant, créé et utilisé depuis 2006 par l’US Air Force aux États-Unis, afin de décrire « des types spécifiques d’adversaires, exploits, et cibles utilisées à des fins de collecte de données stratégiques ».
Cette définition mêle tous les acteurs de l’APT : les humains (adversaires), l’informatique (exploits), les infrastructures (cibles) et les données. Elle ne convient cependant pas à tous les experts du domaine, qui ont chacun adapté cette première définition à leur compréhension du domaine.
Pour commencer, certains experts pensent qu’une APT est avant tout une « histoire d’hommes » : l’APT est l’attaquant,...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
