Developing An Adversary Emulation Plan

Valeur des informations & solidité de l’argumentation

La valeur informative de cette vidéo réside dans la structuration claire d’un processus souvent présenté de manière éparse dans la littérature red team. L’auteur propose une démarche reproductible en quatre étapes : identification des acteurs pertinents, collecte de CTI, cartographie des TTP via ATT&CK Navigator, puis conversion en plan d’émulation. L’argumentation s’appuie sur des critères opérationnels concrets : la disponibilité de CTI est présentée comme le facteur déterminant du choix de l’acteur à émuler, ce qui est un point pragmatique rarement explicité. L’auteur souligne également une nuance importante : les comportements adverses sont cycliques (discovery, credential access, collection se répètent à chaque machine compromise), ce qui rend la représentation linéaire de la kill chain imparfaite. Cette observation est pertinente et témoigne d’une compréhension fine des limites des modèles en couches. En revanche, l’argumentation reste essentiellement descriptive et prescriptive : elle ne s’appuie sur aucune donnée empirique originale, aucune étude de cas chiffrée, et les exemples de kill chain présentés sont volontairement simplifiés. La démonstration pratique, bien qu’utile, est parfois interrompue par des liens qui ne s’ouvrent pas, ce qui affaiblit la démonstration sans invalider le raisonnement.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique repose ici sur l’usage de référentiels établis : le framework MITRE ATT&CK et son Navigator sont des standards reconnus dans le domaine de la cyberdéfense. Les sources CTI citées (rapports FireEye, CrowdStrike, Trend Micro) sont des fournisseurs reconnus, et les dépôts GitHub APTnotes et APT_CyberCriminal_Campagin_Collections sont des agrégateurs publics largement utilisés par la communauté. L’auteur prend soin de préciser que la recherche par industrie sur le site ATT&CK n’est pas une méthode infaillible mais un point de départ, ce qui témoigne d’une certaine prudence épistémique. Il distingue également CTI publique et CTI privée/commerciale, et mentionne le cas où une organisation fournit ses propres IOC issus d’attaques antérieures. L’adéquation titre/contenu est excellente : le titre annonce le développement d’un plan d’émulation, et la vidéo couvre effectivement l’intégralité de ce processus. Aucun chapitre n’est défini par le créateur, ce qui nuit à la navigation mais pas à la rigueur du propos.

7/10

Le contenu s'appuie sur des cadres reconnus (MITRE ATT&CK, ATT&CK Navigator) et des sources CTI publiques réelles (rapports FireEye, Trend Micro, dépôts GitHub APTnotes et APT_CyberCriminal_Campagin_Collections). La méthodologie présentée est cohérente avec les pratiques documentées du red teaming. La démonstration pratique est toutefois partiellement interrompue (certains liens ne s'ouvrent pas à l'écran) et le formateur signale lui-même les limites de la recherche par industrie sur le site ATT&CK. Aucune donnée chiffrée originale n'est produite ; il s'agit d'une synthèse pédagogique de bonnes pratiques.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Introduction et rappel du contexte de la série sur l'émulation d'adversaire.
• 01:15Présentation des critères de sélection d'un acteur de menace : industrie ciblée, géolocalisation, disponibilité de CTI.
• 03:30Utilisation de la section Groups de MITRE ATT&CK pour rechercher des groupes par industrie (exemple : biotechnologie).
• 05:30Exemple de Bronze Butler ciblant des organisations japonaises et reconstitution de sa kill chain.
• 08:00Importance du volume de CTI disponible comme critère déterminant du choix de l'acteur à émuler.
• 10:00Présentation de l'ATT&CK Navigator et de la couche de TTP d'un groupe.
• 12:00Difficulté d'ordonnancement des techniques : comportements adverses cycliques vs représentation linéaire.
• 15:00Conversion des TTP en plan d'émulation et possibilité de démarrer en post-compromission.
• 17:00Démonstration pratique sur Kali Linux : recherche d'acteurs ciblant le secteur financier en Amérique du Nord.
• 25:00Exploration des dépôts GitHub APTnotes et APT_CyberCriminal_Campagin_Collections pour la CTI publique.

• APT Groups and Operations Directory — Annuaire des groupes APT par région, avec leurs TTP et campagnes, cité comme ressource principale pour identifier les acteurs pertinents.
• APTnotes — Dépôt GitHub recensant des rapports publics sur les groupes APT, utilisé pour rechercher des campagnes par nom de groupe.
• APT & CyberCriminal Campaign Collection — Dépôt GitHub agrégeant des rapports CTI sur les campagnes APT et cybercriminelles, consulté pour retrouver des analyses de FIN6.
• Cyber Ranges — Plateforme de laboratoire mentionnée pour les prochains épisodes pratiques de la série.

• MITRE ATT&CK — Groups — Référentiel officiel listant les groupes APT et leurs techniques, directement utilisé dans la vidéo pour la recherche par industrie et par région.
• MITRE ATT&CK Navigator — Outil officiel de visualisation des couches de TTP, dont l'usage est démontré pour cartographier les techniques d'un groupe.
• FireEye — Rapports sur FIN6 — Fournisseur CTI dont les rapports sur FIN6 sont cités dans la vidéo comme source d'analyse de la kill chain.

• apple.co
• spoti.fi