4.3 — Générateur de scénarios

Atelier 4.3 : construire des scénarios opérationnels à partir de l'état réel de votre système, plutôt qu'à partir d'un catalogue générique.

Principe

Un scénario opérationnel décrit le chemin d'attaque qu'une source de risque emprunte pour atteindre un bien essentiel, sous forme d'actions enchaînées phase par phase :

CONNAÎTRE → RENTRER → TROUVER → EXPLOITER → OBJECTIF

Chaque action correspond à une technique d'attaque réelle (bibliothèque Simple ou MITRE ATT&CK). Le générateur ne propose que les techniques rendues possibles par les vulnérabilités détectées dans votre installation.

La chaîne de déduction

Étape	Contenu
1. Vulnérabilités détectées	Non-conformités d'audit (ISO 27001, ANSSI…) ou vulnérabilités saisies (auth faible, CVE non patchées, segmentation absente…)
2. Vulnérabilités canoniques (VUL-xxx)	Pivot central : regroupent les vulnérabilités terrain par famille (F01 Auth, F02 Correctifs, F03 Réseau…) et déclarent les techniques qu'elles rendent possibles
3. Techniques autorisées	Union des techniques de toutes les vulnérabilités actives
4. Scénarios	Pour chaque phase, sélection parmi les techniques autorisées, dans la limite du nombre d'actions configuré

Le résultat est un graphe d'attaque affinable avant validation.

Techniques inconditionnelles

OSINT, phishing de base et assimilés sont toujours inclus : ils ne nécessitent aucune faille particulière. Un système sans vulnérabilité connue reste attaquable par ces voies.

Deux modes de source

Mode A — depuis l'audit / les référentiels. Utilise l'évaluation de l'atelier 1.4. Chaque article non conforme est mappé sur des contrôles ISO 27002, eux-mêmes rattachés à des vulnérabilités canoniques. Quand l'utiliser : vous avez réalisé un audit complet et voulez des scénarios ancrés dans vos non-conformités réelles.

Mode B — vulnérabilités classiques. Sélection manuelle de catégories standard (injection, auth faible, CVE non patchées, supply chain, OT/ICS…). Quand l'utiliser : pas d'audit formalisé, ou exploration d'un type de menace précis.

Avec ou sans biens supports

Avec — chaque bien support porte ses propres vulnérabilités. Résultat : un scénario par bien support, avec des techniques adaptées à chaque composant.

• Si l'évaluation 1.5 existe → score effectif : score 1-2 = vulnérabilité confirmée, score 3-4 = vulnérabilité absente.
• Sinon → score potentiel : la catégorie du bien support détermine les vulnérabilités applicables.

Sans — l'installation est traitée comme un tout, toutes les vulnérabilités actives sont agrégées. Résultat : un scénario par bien essentiel ciblé.

La qualité dépend de l'amont

Le générateur ne crée pas d'information : il recombine celle des ateliers 1.4 et 1.5. Un socle non évalué produit des scénarios pauvres ou génériques.