MITRE ATT&CK est une base de connaissances qui classe les méthodes observées lors d'attaques réelles en « tactiques », qui représentent les objectifs de l'attaquant, et en « techniques », qui représentent les moyens concrets d'atteindre ces objectifs. Quelle association entre une action observée et la tactique dont elle relève est correcte ?

Réponse : C. S'enregistrer comme service du système d'exploitation pour s'exécuter automatiquement même après un redémarrage relève de la persistance (Persistence)

Les tactiques d'ATT&CK expriment « pourquoi » l'attaquant agit (l'objectif) et les techniques « comment » ; la tactique de persistance comprend par exemple des techniques comme l'enregistrement d'un service, les tâches planifiées et la modification de paramètres exécutés au démarrage. Étendre ses connexions à d'autres serveurs relève de la tactique de mouvement latéral (Lateral Movement), et envoyer des données vers l'extérieur de la tactique d'exfiltration (Exfiltration). La défense reporte sur ATT&CK les techniques que couvrent ses détections et ses mesures pour trouver ses points faibles. Comme les techniques portent un identifiant, les rapports de renseignement sur les menaces et les règles de détection peuvent désigner une même méthode par le même numéro.