La majorité des post-mortems d’entreprise échouent à renforcer durablement la posture défensive en raison de trois faiblesses structurelles :
BYPASSED), humainement mal configuré (MISCONFIGURED), opérationnellement non surveillé (UNMONITORED) ou totalement absent (ABSENT).La Méthodologie de l’Autopsie Hermes apporte un cadre d’ingénierie formel pour transformer la télémétrie post-incident en décisions architecturales quantifiables.
Inspectez des autopsies réelles et simulez des contrôles défensifs contrefactuels :
L’Autopsie Hermes impose de remonter le temps à rebours de l’attaque :
[ T_0 : Impact Terminal & Constat des Dégâts ] (Exfiltration / Blocage opérationnel) ▲ │ Étape 1 : Comment les données ont-elles quitté le réseau ? │[ T - Δt_1 : Exfiltration de Données / Extrusion Latérale ] ▲ │ Étape 2 : Quels implants ou accès ont permis le pivot ? │[ T - Δt_2 : Élévation de Privilèges & Persistance ] ▲ │ Étape 3 : Quelle vulnérabilité a permis l'intrusion initiale ? │[ T - Δt_3 : Brèche Périmétrique Initiale / Ingress Gate ] ▲ │ Étape 4 : Quels signaux faibles ont précédé l'assaut ? │[ T - Δt_4 : Reconnaissance Pré-Brèche & Signaux d'Armement ]En remontant la chronologie depuis l’impact :
Chaque contrôle de sécurité analysé est classifié selon l’un des quatre modes de défaillance :
1. Bypassed (contourné)
Le contrôle était actif, déployé et fonctionnel, mais l’attaquant a employé une technique d’évasion, une primitive zéro-day ou des identifiants valides qui échappaient au périmètre de détection du contrôle.
Exemple : Un WAF filtrant les balises PHP classiques contourné par une injection de template CSS (@import).
2. Misconfigured (mal configuré)
Le contrôle disposait de la capacité technique d’intercepter la technique, mais il était incomplètement configuré, placé en liste blanche ou désactivé pour limiter la friction opérationnelle.
Exemple : Exclusion des répertoires de cache web (/var/cache/) de l’inspection comportementale de l’EDR.
3. Unmonitored (non surveillé)
Le contrôle était déployé et a parfaitement généré la télémétrie, mais les signaux n’ont jamais été ingérés, triés ou corrélés par les défenseurs. Exemple : Les flux NetFlow indiquaient un transfert sortant massif sur le port 443 vers un ASN hostile, mais aucun seuil d’alerte n’était configuré.
4. ABSENT (inexistant)
Le contrôle de sécurité indispensable n’existait tout simplement pas dans l’architecture au moment des faits. Exemple : Les serveurs web disposaient d’un accès sortant direct et sans proxy vers l’ensemble de l’Internet public.
Pour évaluer les alternatives défensives, Hermes calcule l’Efficacité d’Interception Contrefactuelle (E_c) et le Taux de Réduction Combiné (E_comb).
Pour une intervention $k \in K$ ciblant l’étape $j$ de la chaîne d’attaque :
E_c(k) = P(Rupture de la chaîne à l'étape j | Technique T_j, Friction F_k) in [0, 100]%Lorsque plusieurs mesures de défense en profondeur sont activées simultanément à différents stades :
E_comb = 100 * [ 1 - PRODUIT_{k in I} (1 - E_c(k) / 100) ] %À partir des métriques réelles de l’incident (Systèmes compromis $S_0$, Heures d’interruption $D_0$) :
S_simule = max(0, round( S_0 * (1 - E_comb / 100) ))D_simule = max(0, round( D_0 * (1 - E_comb / 100) ))Delta_B = B_0 * (E_comb / 100)Chaque mesure est pondérée par sa friction opérationnelle :