Lire un résultat de simulation : kill-chain, chemin viable, score d'exposition
Un résultat de simulation n'est pas un réussi/échoué. C'est un ensemble de kill-chains, chacune avec un verdict, un point de rupture et un sous-score d'exposition, qui se cumulent en un chiffre global. Lu dans le bon ordre, il dit non seulement ce qui est exposé, mais aussi lequel de vos contrôles tient déjà la ligne.
L'unité, c'est le scénario, et le scénario est une kill-chain
Chaque scénario est une courte séquence d'étapes — la façon dont une vraie attaque progresse. Une étape est marquée franchie quand le mouvement de l'attaquant réussit contre la configuration du tenant, bloquée quand un contrôle l'arrête, et indéterminée quand le signal n'est pas observable en lecture seule. « Franchie » est ici une mauvaise nouvelle : cela signifie que l'étape a fonctionné pour l'attaquant.
Lire un scénario de haut en bas montre exactement où la chaîne se complète ou se rompt. C'est plus utile qu'un verdict seul, car cela indique quel maillon compte.
Viable, interrompu, indéterminé
| Verdict | Signification | Que faire |
|---|---|---|
| Chemin d'attaque viable | La chaîne se complète de bout en bout : chaque étape décisive est franchie. | À traiter comme un vrai constat. Corrigez l'étape la plus précoce possible — fermer un maillon rompt toute la chaîne. |
| Attaque interrompue | Un contrôle a bloqué la chaîne avant qu'elle n'aboutisse. | Notez le point de rupture. C'est un contrôle qui fonctionne — nommez-le, et ne l'affaiblissez pas. |
| Indéterminé | Un signal décisif n'est pas observable en lecture seule. | Vérifiez dans le portail. Le simulateur dit « je ne peux pas voir », pas « tout va bien ». |
Le point de rupture est la partie utile
Quand une chaîne est interrompue, le résultat nomme le contrôle exact qui l'a stoppée — le point de rupture. Cela inverse le récit habituel de l'audit. Au lieu de seulement lister ce qui ne va pas, le simulateur dit ce qui va bien : « ce chemin de password spray a été interrompu par la sécurité par défaut », « ce chemin de consentement a été interrompu car le consentement utilisateur est restreint ». En restitution, les points de rupture sont la façon de montrer que les investissements existants sont rentables.
Comment se construit le score d'exposition
Chaque scénario produit un sous-score d'exposition sur 100, fonction de la distance parcourue par la chaîne et du caractère décisif des étapes franchies. Le score d'exposition global est l'agrégat sur les scénarios exécutés, et le nombre de chemins viables est le nombre de chaînes complétées de bout en bout. Deux chiffres, deux rôles : le score est la courbe de tendance que l'on surveille dans le temps ; le nombre de chemins viables est le titre sur lequel on agit maintenant.
On surveille le score, on agit sur les chemins. Un score qui passe de 62 à 40 sur deux exécutions est une bonne nouvelle ; mais le chiffre qui change une décision, c'est « chemins viables : 18 → 6 ». Rapportez les deux, ouvrez sur les chemins.
Un ordre de lecture qui fonctionne
- Commencez par le nombre de chemins viables, pas par le score. C'est le compte des chaînes qui aboutissent vraiment.
- Ouvrez d'abord les scénarios viables. Lisez chaque kill-chain jusqu'à l'étape qui l'a rendue viable — c'est votre correctif le moins coûteux.
- Corrigez l'étape décisive la plus précoce. Rompre un maillon interrompt toute la chaîne ; il est rarement nécessaire de corriger chaque étape.
- Lisez les scénarios interrompus pour leurs points de rupture. Ce sont les contrôles à protéger, pas à ignorer.
- Vérifiez les indéterminés dans le portail avant de les affirmer ou de les écarter.
- Relancez après remédiation et comparez le nombre de chemins viables. Ce delta est la preuve du travail accompli.
Pourquoi un même score peut masquer du mouvement
Comme pour l'audit, un score global stable peut masquer un changement en dessous : deux scénarios corrigés, deux autres devenus viables parce qu'une exclusion d'accès conditionnel a été ajoutée la semaine dernière. C'est pourquoi la liste des chemins viables — pas seulement le nombre — importe, et pourquoi conserver chaque exécution dans l'historique permet de comparer à périmètre égal. Lisez d'abord les chemins nouveaux depuis la dernière fois ; ils pointent en général vers un changement récent plutôt que vers un écart ancien.