OpenAEV introduit l’Attack Chaining pour tester les chaînes d’attaque complètes

Contexte et limites du test par technique

Les programmes de simulation d’attaque (BAS) s’appuient généralement sur des bibliothèques de techniques isolées, souvent alignées sur le framework MITRE ATT&CK. Chaque technique est exécutée séparément : « run technique 1234, check detection », puis on passe à la suivante. Cette approche mesure la capacité d’un contrôle à bloquer un vecteur précis, mais ne révèle pas si un adversaire peut enchaîner plusieurs vecteurs pour contourner les défenses. En pratique, les équipes de sécurité observent que même lorsque 90 % des techniques sont détectées, le 10 % restant suffit à créer un point de rupture exploitable.

Risque d’exposition et données chiffrées

Le rapport State of Threat Management de Filigran indique que 93 % des dirigeants de sécurité ont subi une cyberattaque ayant un impact business au cours des 12 mois précédents, malgré des validations ponctuelles de leurs contrôles. Par ailleurs, 88 % estiment que l’IA accélère la vitesse de progression des attaquants une fois qu’ils sont à l’intérieur du réseau, et 84 % pointent les outils cloisonnés comme cause principale des expositions non détectées. L’exemple de la DGFiP en 2025 illustre ce phénomène : chaque étape (accès initial, vol d’identifiants, mouvement latéral, exfiltration) aurait pu être bloquée isolément, mais la chaîne complète a permis la compromission.

Attack Chaining avec OpenAEV

OpenAEV propose une fonctionnalité baptisée « Attack Chaining » qui automatise les chemins d’attaque multi‑étapes. Le moteur repose sur cinq capacités :

Logique conditionnelle ouverte : les équipes construisent des scénarios réutilisables où chaque action (extraction de crédentiel, ouverture de port, token) alimente la décision suivante. Cartographie en temps réel : chaque pivot apparaît instantanément sur un graphe interactif, du point d’accès initial jusqu’à l’objectif final. Résultats transparents et exploitables : chaque artefact généré devient une finding structurée, permettant d’identifier le « chokepoint » où une correction unique interromprait toute la chaîne. Contrôles de portée et de sécurité : les chaînes s’exécutent dans des garde‑fous pré‑définis (actifs autorisés, actions permises, profondeur maximale), limitant les risques de perturbation en production. Enfin, Adaptabilité dynamique : si une technique échoue, la logique peut rerouter ou arrêter la chaîne, reproduisant ainsi le comportement adaptatif d’un groupe d’attaque réel.

Analyse des impacts et contraintes

Cette approche offre une visibilité continue, contrairement aux red‑team traditionnels qui ne sont réalisés que quelques fois par an et restent rapidement obsolètes. En exécutant des chaînes en minutes, les équipes obtiennent une réponse « en temps réel » à la question : « si un adversaire combinait ces techniques aujourd’hui, où serait la faille ? ». Cependant, la mise en œuvre nécessite une intégration fine avec les outils existants (EDR, SIEM, IAM) afin que les résultats de chaque étape soient correctement capturés. De plus, la définition des garde‑fous doit être rigoureuse ; un périmètre trop large peut entraîner des faux positifs ou des impacts opérationnels, tandis qu’un périmètre trop restreint risque de masquer des scénarios critiques. Enfin, la dépendance à des données d’entrée fiables (ex. : crédentiels valides) implique que les environnements de test soient régulièrement synchronisés avec la réalité du réseau, sous peine de produire des chaînes irréalistes.