Labo ForenShield · Attack Lab
Une technique d’attaque par dossier
Chaque dossier rejoue une technique d’attaque réelle et documentée. Chassez-la dans les journaux, reconstituez son schéma avec les tactiques ATT&CK, choisissez la bonne détection et la bonne riposte, puis regardez l’attaque se dérouler sur la carte.
- ≈ 25 min
- Niveau confirmé
- Sans compte
- Cas réels reconstitués
Cas réel, journaux reconstitués. L’attaque et ses techniques sont réelles, documentées par les sources citées. L’entreprise que vous défendez, ses machines, ses comptes, ses adresses et ses journaux sont reconstitués pour l’exercice. Cette démonstration n’effectue aucune analyse réelle, ne lit rien sur votre poste et n’envoie rien : elle fonctionne dans votre navigateur.
Simulation
Déroulé
Ce que vous allez faire
Prendre l’alerte
Une règle du SIEM se déclenche : lisez le contexte, l’entité et la règle.
Chasser dans le SIEM
Requêtes, frise, champs : retrouvez les événements qui prouvent chaque étape, en écartant les leurres.
Reconstituer le schéma
Remettez les étapes de l’attaque dans l’ordre et donnez à chacune sa tactique MITRE ATT&CK.
Riposter
Retenez la règle de détection la plus juste, engagez les actions du playbook, puis rejouez l’attaque.
Le cas réel
Kerberoasting : le mot de passe d’un compte de service, cassé hors ligne
Une technique décrite par MITRE ATT&CK et par Microsoft, employée par des groupes criminels comme FIN7. Elle ne demande aucun droit particulier, et presque tout se passe hors de vos journaux.
Lire le cas réel et ses sources (cela dévoile la solution)
Tout compte du domaine peut demander un ticket de service Kerberos pour un compte doté d’un SPN. Ce ticket est chiffré avec une clé tirée du mot de passe du compte de service : l’attaquant l’emporte et le casse hors ligne. Les comptes les plus exposés ont un mot de passe faible ou acceptent encore RC4. Une fois le mot de passe trouvé, l’attaquant hérite des droits du compte de service, souvent élevés.
- MITRE ATT&CK range la technique sous T1558.003, dans l’accès aux identifiants. Parmi les exemples cités : FIN7 avec Invoke-Kerberoast, les outils Impacket (GetUserSPNs) et Rubeus.
- Microsoft explique que RC4 n’utilise ni sel ni hachage itéré pour tirer une clé du mot de passe, ce qui accélère le cassage. Il annonce la désactivation de RC4 par défaut dans une future mise à jour de Windows 11 24H2 et de Windows Server 2025.
- Ses recommandations : des comptes de service gérés (gMSA, mot de passe aléatoire de 120 caractères, géré automatiquement), à défaut des mots de passe aléatoires d’au moins 14 caractères, AES plutôt que RC4 en changeant ensuite le mot de passe, et un audit des comptes à SPN.
- Pour détecter, MITRE et Microsoft signalent les demandes de tickets 4769 en RC4 (0x17) et un même utilisateur qui demande de nombreux tickets en peu de temps.
Ce qui est reconstitué : La Mutuelle Ardavène, ses comptes, ses machines, ses adresses et ses journaux sont inventés. Les événements reprennent les champs réels de Windows (4769, 4624, 4672, 5140, 4104) et de Sysmon, simplifiés pour la console, avec un résumé en notation technique. La prise de contrôle initiale du poste et le cassage hors ligne ne sont pas rejoués : le premier n’est pas le sujet, le second ne laisse aucune trace dans les journaux de la victime. Aucune analyse réelle n’est effectuée.
Sources
- Steal or Forge Kerberos Tickets: Kerberoasting (T1558.003)MITRE ATT&CK, v20, rev. 2026
- Microsoft’s guidance to help mitigate KerberoastingMicrosoft Security Blog, 2024-10-11
- 4769(S, F): A Kerberos service ticket was requestedMicrosoft Learn, 2021-09-07
- Account Discovery: Domain Account (T1087.002)MITRE ATT&CK, v20, rev. 2026
À retenir
Ce que vous allez apprendre
- Reconnaître la trace d’une technique dans de vrais champs d’événements
- Séparer une attaque d’un comportement légitime qui lui ressemble
- Placer chaque étape dans la bonne tactique MITRE ATT&CK v20
- Écrire une règle de détection précise plutôt que bruyante
- Riposter sans casser la production, ni oublier un accès
Sur de vraies données
Passez ensuite aux vrais outils
La simulation sert à s’exercer. Pour vos propres données, utilisez les outils prévus à cet effet.
Questions fréquentes
Avant de commencer
Les techniques sont-elles réelles ?
Oui : chaque dossier reprend une technique décrite par MITRE ATT&CK, par les éditeurs ou par les agences citées. L’entreprise, ses machines et ses journaux sont reconstitués pour l’exercice.
Est-ce un mode d’emploi pour attaquer ?
Non. Chaque dossier se joue du côté de la défense : ce que la technique laisse dans les journaux, comment la détecter et comment y répondre. Aucun outil offensif n’est fourni.
Faut-il connaître Active Directory ?
Non. Les indices guident la recherche pas à pas, et la correction explique chaque étape. Un analyste confirmé peut s’en passer.
D’autres techniques vont-elles arriver ?
Oui : le lab grandit dossier par dossier. Choisissez votre technique dans la liste avant d’ouvrir le dossier.