Exploit et Patch
Exploit est l'un des six types d'attaque du duel de cartes, et Patch est la défense qui le contre. Tu trouveras ici ce qu'ils représentent dans la sécurité réelle, comment ils s'affrontent dans le jeu et leurs 21 cartes.
L'attaque : Exploit
Un exploit profite d'une vulnérabilité logicielle, c'est-à-dire d'une erreur dans le code d'un serveur, d'une application ou d'un appareil, pour lui faire faire ce qu'il ne devrait pas : lire des données confidentielles, exécuter des commandes, contourner un contrôle. Les vulnérabilités connues ont un identifiant public (CVE) et presque toujours un correctif ; le vrai danger, ce sont les systèmes laissés sans mises à jour pendant des mois et les failles que personne ne connaît encore (zero-day).
La défense : Patch
Les correctifs sont les mises à jour qui corrigent les vulnérabilités logicielles. Bien les gérer, c'est savoir quels systèmes on a (inventaire), connaître les failles qui les concernent, donner la priorité à celles réellement exploitées et installer les correctifs vite, en les testant d'abord là où il le faut. Beaucoup d'attaques célèbres ont utilisé des failles corrigées depuis des mois.
Qui arrête quoi
- Patch contre Exploit : dégâts divisés par deux. Mettre à jour le logiciel ferme justement la faille qu'exploite l'attaque.
- Exploit contre Formation : double dégâts. L'exploit frappe un service sans que personne n'ait à cliquer : l'attention des personnes ne l'arrête pas.
- Exploit contre MFA : double dégâts. L'exploit ne passe pas par la connexion, il contourne entièrement l'authentification : le second facteur n'entre jamais en jeu.
- Phishing contre Patch : double dégâts. Il n'y a aucune erreur logicielle à corriger : le point faible, c'est la confiance de celui qui lit.
- Brute force contre Patch : double dégâts. Elle n'exploite aucune faille, elle utilise la fonction de connexion telle quelle : aucune mise à jour ne rend solide un mot de passe faible.
Dans toutes les autres combinaisons, les dégâts sont normaux.
Les combos avec Exploit
- Kill chain (Scan → Exploit ou Brute force, +2 dégâts): on découvre d'abord ce qui est exposé, puis on attaque le point faible trouvé.
- Escalade (Exploit → Malware, +2 dégâts): une faille exploitée ouvre la voie à l'installation du malware.
- Diversion (DDoS → Exploit, +2 dégâts): pendant que la défense est occupée par le DDoS, un exploit passe inaperçu.
Cartes d'attaque Exploit (15)
Exploit connu
Exploite une vulnérabilité publique (CVE) sur des systèmes non mis à jour.
Fuzzing
Tu bombardes un programme d'entrées bizarres jusqu'à ce que quelque chose casse. Pas cher et rapide.
Exécution à distance
Remote Code Execution : faire tourner ton propre code sur le serveur d'un autre.
Cross-site scripting
Les défenses adverses sont exposées (+1 dégât) pendant 1 tour.
SQL injection
En plus, 1 dégât direct au core.
Exploit de configuration
Il n'exploite pas un bug du code mais une erreur de configuration : port ouvert, droits trop larges, mot de passe par défaut. La défense adverse la plus forte perd 1 de résistance.
Hypervisor escape
D'une machine virtuelle on atteint le système qui l'héberge, en brisant l'isolation entre clients. On l'évite en mettant à jour l'hyperviseur et en séparant les charges critiques. La défense adverse la plus forte perd 1 de résistance.
Container escape
Du conteneur à l'hôte qui l'héberge : l'isolation se brise. On l'évite avec des images minimales, un utilisateur non root et des profils seccomp. 2 dégâts à toutes les défenses adverses.
Privilege escalation
L'adversaire a 1 de bande passante en moins pendant 1 tour.
Zero-click
Compromet l'appareil sans que la victime touche à rien, pas même à un lien. Ignore les contre-mesures, détruit un terrain adverse (le plus cher), et la défense adverse la plus forte perd 2 de résistance.
Vol de session
On vole le cookie déjà authentifié et on entre sans passer par la MFA. On le limite en liant la session à l'appareil. Ignore les contre-mesures.
Zero-day
Une faille que personne ne connaît encore : il n'existe aucun patch. Ignore les contre-mesures.
APT
Advanced Persistent Threat : un groupe qui reste dans le réseau pendant des mois. Pendant 2 tours, l'adversaire a 1 de bande passante en moins.
Attaque supply chain
Ignore les contre-mesures et inflige 2 dégâts à toutes les défenses.
Prompt injection
Des instructions cachées dans un texte qu'un assistant IA exécute comme si elles venaient de son propriétaire. On la limite en séparant instructions et données et en restreignant les permissions. L'adversaire défausse 1 carte au hasard.
Cartes de défense Patch (6)
Patch Tuesday
Des mises à jour de sécurité régulières : elles corrigent les failles connues.
Mises à jour automatiques
Régénère : +1 de résistance au début du tour.
Gestion des vulnérabilités
Inventaire, scans et priorités : tu sais quoi mettre à jour en premier.
Centre de patching
Une équipe qui teste et déploie les mises à jour sur tous les systèmes, sans en oublier un seul. Répare les alliées : +1 de résistance à tes autres défenses au début du tour.
RAID redondant
Les données sont écrites sur plusieurs disques : si l'un casse, les autres maintiennent le service. Répare les alliées : +1 de résistance à tes autres défenses au début du tour.
Data vault souverain
Des données dans un coffre sous ton contrôle et ta juridiction : la « souveraineté des données ». Soigne le core : +2 d'intégrité au début du tour. Armure : −1 à chaque coup subi. Régénère : +1 de résistance au début du tour.
Guides associés (en anglais)
Pour apprendre la partie technique, il y a les laboratoires simulés :