Exfiltration : techniques et détection SOC

L'exfiltration désigne le transfert non autorisé de données depuis un système compromis vers une infrastructure contrôlée par un attaquant. Dans le référentiel MITRE ATT&CK, l'exfiltration correspond à la tactique TA0010. Elle intervient généralement en fin de chaîne d'attaque, après la phase de collecte (TA0009). Les techniques employées cherchent à contourner les contrôles réseau et les solutions DLP. L'attaquant peut exfiltrer via des canaux légitimes détournés : requêtes DNS encodées en base64, flux HTTP/HTTPS vers des services cloud publics, ou protocoles de messagerie comme SMTP. Le tunneling DNS est particulièrement redouté car le port 53 est rarement filtré en sortie. D'autres techniques exploitent des canaux physiques (USB, impression) ou des canaux temporels et de taille de paquets pour dissimuler les données dans un trafic d'apparence normale. La compression et le chiffrement des archives avant envoi réduisent encore la détectabilité. Comprendre ces mécanismes est indispensable pour construire des règles de détection pertinentes et limiter la surface d'exfiltration d'un réseau d'entreprise.

La détection de l'exfiltration repose sur l'analyse comportementale du trafic réseau et des journaux système. Côté réseau, une volumétrie anormale en sortie vers des destinations inhabituelles est le premier signal. Les sondes NDR comme Zeek ou Suricata permettent de calculer les ratios query/réponse DNS et d'identifier des sous-domaines à entropie élevée, caractéristiques du tunneling DNS. Les logs DNS du resolver interne (Windows DNS Server, Event ID 256 à 280) doivent être centralisés dans le SIEM. Sur les endpoints, les Event ID Windows 4663 (accès fichier) et 4688 (création de processus) permettent de corréler une lecture massive de fichiers suivie d'un transfert réseau. L'outil Sysmon, via les Event ID 3 (connexion réseau) et 11 (création de fichier), enrichit considérablement la visibilité. Les solutions DLP surveillent les flux sur les interfaces réseau et les périphériques amovibles. L'analyse des certificats TLS via JA3/JA3S fingerprinting aide à identifier des clients inhabituels. Les alertes de type 'large outbound transfer' doivent être croisées avec les heures de travail et les profils utilisateurs pour réduire les faux positifs.

En Red Team, l'exfiltration est testée avec des outils spécialisés. DNScat2 et Iodine permettent d'établir des tunnels DNS complets pour exfiltrer des données octet par octet via des requêtes TXT ou CNAME. Cobalt Strike propose des canaux d'exfiltration configurables sur HTTP/HTTPS avec jitter et profils malleable C2 pour imiter du trafic légitime. Pour contourner les proxies d'inspection, les opérateurs Red Team utilisent des CDN publics (Cloudflare, Azure) comme redirecteurs, rendant l'origine du flux indétectable. L'outil Egress-Assess permet de simuler des exfiltrations de données sensibles (PAN, SSN) vers un serveur de test pour valider les règles DLP. Côté durcissement, les contre-mesures prioritaires incluent : le filtrage DNS-over-HTTPS (DoH) sortant pour forcer le passage par le resolver interne, la restriction des ports sortants au strict nécessaire, l'inspection TLS sur le proxy sortant, et la mise en place de règles YARA sur les archives générées par des processus suspects. La segmentation réseau limite la capacité d'un attaquant à atteindre un point d'exfiltration depuis un segment interne. Les politiques AppLocker réduisent l'exécution d'outils d'exfiltration non autorisés.