This is the Trace Id: 1e8e0588bb663b0015cefc015d75b389
Passer directement au contenu principal Microsoft Defender Microsoft Entra Microsoft Intune Project Perception Microsoft Purview Microsoft Sentinel SIEM Voir tous les produits Cybersécurité basée sur l’IA Sécurité du cloud Sécurité et gouvernance des données Identité et accès Sécurité pour l’IA PME SecOps intégrées Confiance Zéro Tarifs Services Partenaires Pourquoi Sécurité Microsoft Sensibilisation à la cybersécurité Témoignages de clients Sécurité 101 Essais de produits Distinctions Microsoft Security Insider Rapport Microsoft Digital Defense Centre de réponse aux problèmes de sécurité Blog Sécurité Microsoft Événements Microsoft en lien avec la sécurité Communauté technique Microsoft Documentation Bibliothèque de contenu technique Formation et certifications Programme de conformité pour Microsoft Cloud Centre de gestion de la confidentialité Microsoft Portail d’approbation de services Microsoft Initiative pour un avenir sûr Business Solutions Hub Contacter le service commercial Démarrer un essai gratuit Sécurité Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Réalité mixte Microsoft HoloLens Microsoft Viva Informatique quantique Éducation Automobile Services financiers Secteur public Santé Industrie Vente au détail Trouver un partenaire Devenir partenaire Réseau de partenaires Microsoft Marketplace AppSource Blog Microsoft Advertising Centre pour les développeurs Documentation Événements Licences Microsoft Learn Microsoft Research Vue plan de site

Qu’est-ce qu’une attaque liée à une menace avancée persistante (APT) ?

Découvrez les APT et comment détecter, prévenir et contrer ces cyberattaques ciblées et de longue durée grâce à des stratégies de sécurité multicouches.

Vue d’ensemble de l’informatique

Une menace persistante avancée est une cyberattaque ciblée et de longue durée conçue pour infiltrer une entreprise et rester cachée le plus longtemps possible  Contrairement aux attaques généralisées qui visent des cibles faciles, les APT sont calculées et personnalisées. Les attaquants choisissent leurs cibles avec soin, visant souvent des entités à forte valeur comme les administrations publiques, les infrastructures critiques ou les grandes entreprises. Ils procèdent méthodiquement pour obtenir un accès et s’y maintenir.

L’objectif d’une APT est de surveiller discrètement l’activité, de voler des données sensibles ou de perturber les opérations sans alerter la victime. Ces campagnes s’étendent souvent sur des semaines, des mois, voire des années. En raison de leur discrétion et de leur complexité, les APT peuvent être difficiles à détecter, et encore plus difficiles à contenir une fois qu’elles ont pris racine.

Principaux points à retenir

  • Les APT sont des attaques ciblées et de longue durée qui peuvent rester cachées dans les entreprises pendant des mois ou des années.
  • Les attaquants utilisent des outils avancés comme des exploitations de failles zero-day, des logiciels malveillants personnalisés et l’ingénierie sociale pour contourner les défenses.
  • Les campagnes APT suivent des phases coordonnées, comme l’accès initial, les déplacements latéraux et la perturbation ou le vol de données.
  • Les cibles courantes incluent les secteurs public, financier, de la santé, des technologies et des infrastructures critiques.
  • La détection et la réponse nécessitent des stratégies coordonnées de détection des anomalies, de veille sur les menaces, d’investigation et de remédiation.
  • Les bonnes pratiques comme l’application des correctifs, la formation des collaborateurs et la segmentation du réseau contribuent à réduire le risque lié aux APT.

Les APT : ce qu’il faut savoir

Pour protéger votre entreprise contre les attaques ciblées et de longue durée, il est essentiel de comprendre les APT et leur mode de fonctionnement. Ces menaces ne se contentent pas de contourner les défenses. Elles s’implantent dans votre environnement et s’y maintiennent.

Ce qui distingue les APT des autres types d’attaques, c’est leur combinaison de ciblage, de sophistication et de durée. Ces attributs en font l’une des menaces les plus difficiles à gérer pour les équipes de sécurité :
 
  • Avancée : Les attaquants utilisent des outils et des tactiques spécialisés conçus pour échapper aux contrôles de sécurité traditionnels, comme les vulnérabilités zero-day, les logiciels malveillants personnalisés, et les opérations en plusieurs étapes.

  • Persistante : les APT ne sont pas des événements ponctuels. Les attaquants travaillent en continu pour conserver l’accès, en utilisant diverses techniques pour éviter la détection et rétablir leur contrôle en cas d’interruption.

  • Menace : Ces campagnes sont menées par des adversaires bien financés et compétents. Beaucoup sont associés à des groupes soutenus par des États ou à de vastes réseaux criminels qui agissent avec une intention claire et des objectifs à long terme.
En comprenant ces caractéristiques, les responsables de la sécurité et de l’informatique peuvent mieux évaluer les risques, renforcer leurs défenses et réduire le temps passé par les attaquants dans leurs environnements.

Comment fonctionnent les APT

Les acteurs des APT sont très motivés et disposent souvent de ressources financières importantes. Ils prennent le temps d’étudier l’infrastructure d’une cible, d’identifier les points faibles et d’élaborer des stratégies personnalisées pour les exploiter. Une fois à l’intérieur, ils cherchent à rester non détectés tout en se déplaçant latéralement dans les systèmes, en collectant des données ou en préparant une perturbation plus large. Ce niveau de discrétion rend la détection et la réponse précoces particulièrement difficiles.

Les APT se déroulent en phases coordonnées conçues pour maximiser l’impact et éviter la détection.
 
  • Reconnaissance et planification : Avant de lancer une attaque, les groupes APT effectuent des recherches approfondies sur la cible. Cela comprend la collecte de détails sur les systèmes, le personnel, les fournisseurs et les vulnérabilités potentielles, souvent à l’aide de renseignements en sources ouvertes ou d’outils d’analyse.

  • Compromission initiale : les attaquants s’introduisent dans le réseau par des méthodes comme des e-mails de phishing, l’exploitation de vulnérabilités connues ou inconnues (zero-day), ou l’utilisation d’identifiants volés. L’objectif est d’établir ce premier point d’entrée.

  • Établissement d’un point d’appui : une fois à l’intérieur, les attaquants déploient des logiciels malveillants personnalisés, installent des portes dérobées ou créent de nouveaux comptes utilisateurs pour sécuriser un accès durable. Cela leur permet de revenir même si un point d’accès est fermé.

  • Élévation des privilèges : pour accéder à des systèmes ou à des données sensibles, les acteurs APT s’efforcent d’élever leurs privilèges, souvent en exploitant des erreurs de configuration système, en volant des identifiants d’administration ou en exploitant des vulnérabilités d’élévation de privilèges.

  • Déplacements latéraux : les attaquants naviguent dans le réseau, passant d’un système à l’autre pour cartographier l’environnement, collecter des données et identifier les ressources précieuses. Cette phase comprend souvent le contournement des défenses internes et des outils de sécurité.

  • Exfiltration de données ou perturbation : une fois en position, les groupes APT peuvent voler discrètement des données sensibles, comme la propriété intellectuelle, des dossiers financiers ou des communications confidentielles. Ils peuvent aussi se préparer à des activités plus perturbatrices, notamment en déployant un ransomware ou en lançant une attaque par déni de service distribué (DDoS).

  • Maintien de la discrétion et de la persistance : tout au long du processus, les attaquants adaptent en continu leurs techniques pour rester cachés. Ils peuvent faire tourner les serveurs de commande et de contrôle (C2), utiliser des communications chiffrées et mettre à jour les logiciels malveillants pour éviter la détection.
Les groupes APT s’appuient sur différents vecteurs d’attaque pour mener à bien ces phases, notamment :
 
  • Des e-mails de spear phishing ciblant des collaborateurs précis.
  • Des logiciels malveillants personnalisés conçus pour l’environnement spécifique.
  • Des kits d’exploitation qui automatisent certaines parties du processus d’attaque.
  • Des exploitations de failles zero-day ciblant des vulnérabilités non corrigées.
  • Des serveurs de commande et de contrôle pour la gestion à distance.
  • Des techniques d’ingénierie sociale pour manipuler des personnes en interne.
  • Des attaques de la chaîne d’approvisionnement qui compromettent des tiers de confiance.

Cibles courantes et exemples concrets

Les groupes de menaces persistantes avancées comptent parmi les adversaires les plus redoutables en matière de cybersécurité. Soutenus par des pays ou des organisations bien financées, ces groupes mènent des campagnes prolongées et ciblées visant l’espionnage, le vol de données ou la perturbation. Leurs opérations s’étendent souvent sur des mois, voire des années, et se concentrent sur des secteurs essentiels à la sécurité nationale et économique.

Cibles courantes des groupes APT
Les acteurs APT ciblent généralement de grandes entreprises ou institutions.
 
  • Entreprises gouvernementales et de défense : rechercher des renseignements et des avantages stratégiques.

  • Établissements financiers : accéder à des données financières sensibles ou perturber la stabilité économique.

  • Fournisseurs de soins de santé : cibler des informations de santé personnelles et des données de recherche.

  • Entreprises technologiques : convoiter la propriété intellectuelle et les technologies propriétaires.

  • Secteurs d’infrastructures critiques : notamment l’énergie, les transports et les télécommunications, où les perturbations peuvent avoir des répercussions étendues.
     
Groupes APT notables
Plusieurs groupes APT ont été identifiés et suivis par des professionnels de la cybersécurité. Voici quelques-uns des groupes les plus notables :
 
  • APT28 (Fancy Bear) : ce groupe, que l’on pense lié au renseignement militaire russe, a ciblé des entreprises gouvernementales et militaires, en utilisant le harponnage et des logiciels malveillants pour infiltrer les réseaux.

  • APT29 (Cozy Bear) : associé aux services de renseignement russes, APT29 s’est concentré sur des entités diplomatiques et gouvernementales, en utilisant des logiciels malveillants sophistiqués et des techniques furtives pour exfiltrer des données.

  • Lazarus Group : attribué à la Corée du Nord, Lazarus a mené des opérations allant du vol financier à des attaques perturbatrices contre les secteurs des médias et du divertissement.

Études de cas : les APT
Les groupes de menace persistante avancée ont mené de nombreuses cyberattaques sophistiquées dans différents secteurs. Les exemples très médiatisés ci-dessous illustrent leurs méthodes et leurs impacts.
 
  • Cyberattaque contre un grand assureur américain : en mars 2021, une grande compagnie d’assurance basée aux États-Unis a subi une attaque par rançongiciel qui a perturbé plusieurs services. Les attaquants ont utilisé un rançongiciel pour chiffrer des fichiers et exfiltrer des données, ce qui a touché plus de 75 000 personnes. La violation a nécessité une enquête coûteuse de plusieurs mois, une réponse juridique et des mesures de remédiation pour sécuriser les systèmes touchés et informer les clients concernés.

  • Compromission de l’infrastructure énergétique d’un pays : en 2023, une attaque coordonnée a ciblé 22 entreprises du secteur énergétique danois, en exploitant une vulnérabilité de pare-feu. Les attaquants ont obtenu un accès non autorisé aux systèmes de contrôle industriel de certaines entreprises, entraînant d’importantes perturbations opérationnelles.

  • Compromission des services informatiques d’une grande entreprise du secteur de la santé : en février 2024, une cyberattaque majeure a ciblé une unité de services informatiques pour le secteur de la santé, perturbant les soins aux patients et entraînant le vol d’informations de santé protégées. Les attaquants ont utilisé un rançongiciel pour chiffrer des fichiers et exfiltrer des données, touchant environ 190 millions de personnes.
Ces cas démontrent la nature persistante et évolutive des menaces APT, et soulignent la nécessité de mesures de cybersécurité APT robustes dans tous les secteurs.

Détecter et répondre aux APT

Les attaques de cybersécurité APT sont conçues pour se fondre dans l’activité normale du réseau, ce qui les rend difficiles à détecter avec les outils de sécurité standard. Mais il existe des signes d’alerte, si vous savez où regarder.

Indicateurs de compromission (IOC)
Les IOC sont les traces laissées par une activité malveillante. Dans le cas des attaques APT, ils peuvent inclure :
 
  • Des schémas de connexion inhabituels, par exemple un accès depuis des emplacements inattendus ou à des heures inhabituelles.
  • Un trafic réseau inattendu entre des systèmes internes et des serveurs externes.
  • La présence de fichiers, scripts ou comptes d’utilisateur inconnus ou suspects. 
  • L’utilisation d’outils généralement associés aux attaquants, comme des outils d’extraction d’identifiants ou des frameworks de mouvement latéral.
  • Des signes d’exfiltration de données, notamment d’importants transferts sortants ou des transferts inexpliqués.
Reconnaître ces signaux tôt peut réduire le temps de présence de l’attaquant dans votre environnement, et donc les dommages potentiels.

Stratégies pour détecter les activités APT
La détection des APT nécessite une combinaison de technologie, de processus et de personnes. Les stratégies efficaces incluent :
 
  • Détection des anomalies : surveiller les activités qui sortent des bases de référence établies, comme des pics d’accès aux données ou des actions administratives inhabituelles.

  • Renseignement sur les cybermenaces : utiliser des flux de renseignements sur les menaces à jour pour rester informé des dernières techniques d’attaque, des outils et des profils d’acteurs de menace.

  • Surveillance des terminaux et du réseau : déployer des outils qui offrent une visibilité sur les points de terminaison, les services cloud et le trafic réseau, afin d’aider à détecter en temps réel les signes de compromission.

  • Chasse proactive aux cybermenaces : rechercher activement les menaces cachées dans votre environnement, même lorsqu’aucune alerte n’a été déclenchée.
Ensemble, ces approches renforcent votre capacité à repérer tôt l’activité APT, avant qu’elle ne cause des dommages durables.

Répondre à une attaque APT
Si une attaque de cybersécurité APT est détectée, il est essentiel d’agir rapidement et de suivre les étapes appropriées pour reprendre le contrôle, combler les failles de sécurité et tirer des enseignements de l’incident afin de renforcer votre posture de sécurité.
 
  • Confinement : isolez les systèmes ou comptes touchés pour empêcher toute propagation supplémentaire.

  • Investigation : analysez les journaux, le trafic et le comportement du système pour comprendre les déplacements, les objectifs et les méthodes de l’attaquant.

  • Remédiation : supprimez les outils malveillants, corrigez les vulnérabilités exploitées et restaurez les systèmes touchés.

  • Récupération et évaluation : reprenez les opérations normales tout en menant un examen approfondi après incident afin de renforcer les défenses et d’éviter toute récurrence.

Prévenir les APT

La prévention des menaces persistantes avancées nécessite plus qu’un seul outil ou produit. Cela nécessite une approche de sécurité multicouche. Comme les groupes APT utilisent un éventail de tactiques pour infiltrer un réseau et s’y maintenir, la défense contre ces groupes implique de combler les lacunes au niveau des personnes, des processus et de la technologie :
 
  • Former le personnel à reconnaître les vecteurs d’attaque courants et à réagir de manière appropriée.

  • Établir des politiques et des procédures qui limitent l’exposition et renforcent la résilience.

  • Utiliser des outils de sécurité à jour qui offrent visibilité, détection et protection sur l’ensemble de votre environnement numérique.
     
Des solutions comme les services de détection et de réponse managées (MDR) offrent une combinaison de technologie et d’expertise humaine.

Bonnes pratiques pour prévenir les APT
Même si aucune défense n’est parfaite, les bonnes pratiques suivantes peuvent réduire considérablement la probabilité et l’impact d’une attaque APT :
 
  • Mises à jour régulières des logiciels et gestion des correctifs : maintenez les systèmes, les applications et le micrologiciel à jour pour corriger les vulnérabilités connues. De nombreuses attaques APT réussissent en exploitant des failles non corrigées.

  • Formation des collaborateurs pour lutter contre le phishing : apprenez aux collaborateurs à repérer les e-mails et les messages suspects, en particulier les tentatives de harponnage qui ciblent des personnes avec des appâts personnalisés.

  • Segmentation réseau et accès au moindre privilège : limitez la propagation d’une attaque en segmentant les réseaux et en accordant aux utilisateurs uniquement les accès dont ils ont besoin pour accomplir leur travail. Cela complique les mouvements latéraux pour les attaquants.

  • Surveillance et planification de la réponse aux incidents : mettez en place une surveillance continue pour détecter les activités suspectes et maintenez un plan de réponse aux incidents bien rodé. Cela permet à votre équipe de savoir comment agir rapidement si une attaque est détectée.
     
Prévenir les APT ne consiste pas à éliminer tout risque. Il s’agit plutôt de compliquer la tâche des attaquants, de rendre leurs actions plus difficiles et d’augmenter les chances de les détecter rapidement. Avec une approche multicouche, les entreprises peuvent mettre en place une stratégie de défense en profondeur qui protège les actifs critiques, même contre des menaces sophistiquées.

Tendances émergentes des APT

Les groupes APT évoluent constamment. À mesure que les défenseurs perfectionnent leurs outils et leurs processus, les attaquants adaptent leurs techniques, à la recherche de nouveaux moyens de contourner les contrôles de sécurité et de maintenir leur accès.

Techniques APT émergentes
Les acteurs APT modernes combinent de plus en plus leurs tactiques, en associant des exploits techniques à l’ingénierie sociale et à des attaques sur la chaîne d’approvisionnement pour atteindre leurs cibles. Voici quelques tendances émergentes :
 
  • Des campagnes d’hameçonnage plus sophistiquées qui utilisent des données personnelles ou organisationnelles détaillées pour créer des appâts convaincants.

  • Des techniques de type living-off-the-land, dans lesquelles les attaquants utilisent des outils et des processus légitimes déjà présents dans l’environnement pour éviter la détection.
     
  • Une dépendance accrue aux compromissions de la chaîne d’approvisionnement, où des fournisseurs tiers ou des mises à jour logicielles deviennent le vecteur d’accès initial.
Ces évolutions rendent plus difficile le recours exclusif à des défenses traditionnelles comme l’antivirus ou la sécurité périmétrique.

Détection et prévention grâce aux technologies émergentes
Les technologies émergentes jouent un rôle à la fois dans l’offensive et dans la défense.
  À mesure que la technologie progresse des deux côtés, l’élément humain reste au cœur de la défense contre les attaques. Les équipes de sécurité doivent rester informées et s’adapter pour suivre le rythme des menaces en constante évolution.

Les APT ciblant les objets connectés (IoT) et les environnements cloud
La surface d’attaque des APT s’élargit. À mesure que davantage d’entreprises adoptent des objets connectés et des services cloud, les attaquants élargissent leurs cibles.
 
  • Objets connectés (IoT) : souvent dépourvus de contrôles de sécurité robustes, ces appareils peuvent servir de points d’entrée faciles vers des réseaux plus vastes.

  • Environnements cloud : à mesure que les charges de travail et les données migrent vers le cloud, les acteurs APT développent de nouvelles techniques pour compromettre les identités cloud, les ressources mal configurées et les plateformes SaaS.
Pour vous défendre contre ces tendances, vous devez élargir votre posture de sécurité afin de couvrir non seulement les systèmes sur site, mais aussi chaque partie de votre écosystème numérique.

Solutions de sécurité Microsoft contre les APT

Microsoft Defender XDR aide les entreprises à détecter, enquêter sur et répondre aux menaces persistantes avancées sur l’ensemble de leur environnement numérique. En regroupant les signaux des terminaux, des identités, des e-mails, des applications cloud, et bien plus, Microsoft Defender XDR fournit une vue unifiée des menaces, aidant ainsi les équipes de sécurité à faire tomber les silos et à agir rapidement.

Pour renforcer votre défense contre les APT et passer à l’étape suivante de votre parcours de sécurité, découvrez Microsoft Defender XDR et la solution SecOps unifiée Sécurité Microsoft.
Ressources

En savoir plus sur la sécurité Microsoft

Forum aux questions

  • Une menace persistante avancée (APT) est une cyberattaque ciblée de longue durée menée par des attaquants bien financés, souvent liés à des pays ou à des groupes organisés. Les APT visent à infiltrer des entreprises spécifiques et à maintenir un accès non autorisé et continu à des systèmes ou à des données sensibles, souvent à des fins d’espionnage, de vol ou de perturbation. Contrairement aux attaques opportunistes, les APT utilisent des outils et des tactiques sophistiqués, notamment des programmes malveillants personnalisés, l’ingénierie sociale et des exploits zero-day, pour éviter la détection et atteindre leurs objectifs.
  • Un exemple bien connu de menace persistante avancée s’est produit en février 2024, lorsqu’une grande entreprise du secteur de la santé a vu ses services informatiques compromis. Cette cyberattaque a perturbé les soins aux patients et entraîné le vol d’informations de santé protégées. Les attaquants ont utilisé un rançongiciel pour chiffrer des fichiers et exfiltrer des données, touchant environ 190 millions de personnes.
  • Une menace persistante avancée (APT) est un type de cyberattaque, tandis que la protection contre les menaces avancées (ATP) désigne les outils et les stratégies utilisés pour détecter ces menaces et s’en défendre. APT décrit les méthodes de l’attaquant, en mettant l’accent sur des opérations ciblées de longue durée. À l’inverse, ATP inclut des solutions de sécurité comme Microsoft Defender qui aident les entreprises à identifier, à enquêter sur et à répondre à ces attaques. Bien que les acronymes se ressemblent, ils représentent des aspects opposés du paysage de la cybersécurité.
  • L’objectif principal d’une attaque par menace persistante avancée est d’obtenir et de maintenir un accès non autorisé à long terme aux systèmes ou aux données d’une cible, sans être détecté. Les attaquants cherchent souvent à voler des informations sensibles, à mener des activités d’espionnage, à perturber les opérations ou à saboter des infrastructures critiques. Contrairement aux attaques rapides et opportunistes, les APT sont hautement ciblées et soigneusement planifiées, avec un accent sur la persistance et l’impact stratégique au fil du temps.

Suivez la Sécurité Microsoft

French (WW) Confidentialité de l’intégrité des consommateurs Contact Microsoft Privacy & Cookies Manage cookies Terms of Use Trademarks About our ads