· 5 min de lecture.
À quoi sert un schéma d'attaque
Le CAPEC fournit un vocabulaire commun pour décrire comment une attaque fonctionne, indépendamment du produit visé. Chaque fiche donne les prérequis de l'attaquant, les étapes d'exécution, les compétences nécessaires, les faiblesses exploitées et les contre-mesures connues.
Pour une équipe défensive, c'est un outil de modélisation de menace : à chaque faiblesse identifiée dans votre code correspondent des schémas d'attaque documentés, donc des défenses identifiables sans avoir à les inventer.
Un schéma déroulé : CAPEC-66, l'injection SQL
Une fiche CAPEC se lit comme un mode d'emploi. Voici CAPEC-66 résumé en quatre temps :
- Explorer. L'attaquant envoie une apostrophe dans chaque champ de formulaire et observe les messages d'erreur. Une erreur de syntaxe SQL renvoyée à l'écran est déjà une réponse.
- Éprouver. Il injecte une condition toujours vraie pour voir si la requête change de comportement, puis mesure les temps de réponse quand aucun message n'apparaît.
- Exploiter. Il enchaîne une seconde requête pour extraire la structure de la base, puis son contenu.
- Persister. Selon les droits du compte de base de données, il écrit un fichier sur le serveur ou crée un compte applicatif.
La faiblesse exploitée est CWE-89. Les contre-mesures listées par la fiche sont classiques et efficaces : requêtes préparées, validation stricte en entrée, compte de base de données au privilège minimal, messages d'erreur muets côté client. C'est cette continuité — du geste de l'attaquant à la ligne de code à écrire — qui fait la valeur du référentiel.
Quelques schémas courants
| CAPEC | Schéma d'attaque | Faiblesse exploitée |
|---|---|---|
CAPEC-66 | Injection SQL | CWE-89 |
CAPEC-63 | Cross-site scripting | CWE-79 |
CAPEC-1 | Contournement de contrôle d'accès | CWE-284 |
CAPEC-100 | Débordement de tampon | CWE-120 |
CAPEC-242 | Injection de code | CWE-94, CWE-917 |
Le catalogue complet dépasse les 600 schémas. Il est publié par le MITRE sur capec.mitre.org.
Trois niveaux d'abstraction
Les schémas existent à plusieurs échelles, et confondre les niveaux est la principale source de malentendus :
- Meta : une stratégie générale, par exemple « injecter ». Utile pour cadrer un atelier de modélisation.
- Standard : une technique identifiable, par exemple l'injection SQL. C'est le niveau exploitable au quotidien.
- Detailed : une mise en œuvre précise, reliée à des CWE spécifiques. C'est le niveau des tests d'intrusion.
On part du général pour descendre vers le concret : un atelier qui commence au niveau Detailed se perd dans les cas particuliers avant d'avoir couvert les grandes familles.
CAPEC ou MITRE ATT&CK ?
Les deux référentiels sont du même éditeur et sont souvent confondus. Ils décrivent des moments différents :
| CAPEC | MITRE ATT&CK | |
|---|---|---|
| Décrit | Comment une faiblesse s'exploite | Comment un adversaire opère une fois entré |
| Niveau | Applicatif, vulnérabilité | Opérationnel, campagne |
| Sert à | Concevoir et coder plus sûr | Détecter et répondre |
Une équipe de développement travaille avec le CAPEC ; un centre opérationnel de sécurité travaille avec ATT&CK. Les deux se rejoignent sur l'accès initial, qui est le dernier chapitre du premier et le premier du second.
Et concrètement, pour vous
Le CAPEC n'est pas un référentiel à surveiller au quotidien — il ne bouge pas beaucoup. Il sert deux fois : quand vous concevez une fonctionnalité sensible (authentification, import de fichiers, appel à un service tiers), en listant les schémas connus qui la visent ; et quand vous rédigez un cahier des charges de test d'intrusion, en nommant les schémas à couvrir plutôt qu'en demandant « un pentest ».
Questions fréquentes
Combien de schémas CAPEC existe-t-il ?
Plus de 600, couvrant l'essentiel des techniques d'exploitation applicatives, réseau, matérielles et sociales. Le catalogue est publié et versionné par le MITRE.
Le CAPEC est-il utile à une équipe défensive ?
Oui, et c'est même son usage principal. Chaque fiche liste les contre-mesures associées à un schéma : c'est une bibliothèque de défenses indexée par la manière dont on vous attaque.
Faut-il suivre le CAPEC comme on suit les CVE ?
Non. Les CVE arrivent chaque jour et demandent une veille ; le CAPEC est un référentiel stable qu'on consulte au moment de concevoir ou de tester. Le confondre avec un flux d'alertes fait perdre du temps sans rien apporter.