La cyber kill chain est un modèle qui découpe une cyberattaque en sept étapes ordonnées, du moment où un attaquant commence à étudier sa cible jusqu'à celui où il vole des données ou provoque des dégâts. Les analystes de Lockheed Martin l'ont publiée en 2011 pour aider les défenseurs à raisonner comme l'adversaire et à stopper une intrusion avant qu'elle n'atteigne son but. Comprenez les sept étapes et une attaque qui semblait chaotique devient une séquence prévisible que vous pouvez interrompre à tout moment.
Ce guide parcourt chaque étape des deux côtés : ce que fait l'attaquant, et comment un défenseur la détecte et la brise. Chaque phase correspond aussi à une compétence concrète que vous pouvez pratiquer en conditions réelles. Ce même parcours en sept étapes est exactement celui que vous suivez dans le cours de test d'intrusion réseau de HackerDNA, où vous menez reconnaissance, exploitation et post-exploitation contre une cible en direct, dans le navigateur.
Résumé : La cyber kill chain est un modèle en sept étapes de la façon dont une attaque ciblée se déroule : reconnaissance, armement, livraison, exploitation, installation, commande et contrôle, et actions sur les objectifs. Créée par Lockheed Martin en 2011, elle traite une intrusion comme une chaîne où briser un seul maillon arrête toute l'attaque. Les défenseurs l'utilisent pour associer des contrôles à chaque étape et repérer un attaquant tôt, idéalement avant l'exploitation. Sa principale limite est une approche centrée sur le périmètre et les logiciels malveillants, raison pour laquelle beaucoup d'équipes la combinent aujourd'hui avec le référentiel plus granulaire MITRE ATT&CK.
Dans ce guide :
Qu'est-ce que la cyber kill chain ?
Qu'est-ce que la cyber kill chain ? La cyber kill chain est un cadre qui décrit une cyberattaque comme une suite de sept étapes qu'un attaquant doit franchir dans l'ordre pour réussir. Si un défenseur perturbe une seule étape, l'attaquant ne peut atteindre la suivante et l'intrusion échoue. Elle donne aux équipes de sécurité un langage commun sur l'endroit où en est une attaque et sur la réponse à y apporter.
Le terme vient du domaine militaire. Une « kill chain » classique décrit les étapes pour identifier et engager une cible : trouver, fixer, suivre, cibler, engager, évaluer. Lockheed Martin a adapté cette idée à la défense réseau dans un article de 2011 signé Eric Hutchins, Michael Cloppert et Rohan Amin, qui soutenaient que les intrusions ne sont pas des événements isolés mais des campagnes composées de phases distinctes et détectables. Ils ont appelé cette approche la défense pilotée par le renseignement.
L'idée centrale est défensive, pas offensive. Un attaquant doit réussir chaque étape. Un défenseur n'a qu'à en attraper une. Cette asymétrie est tout l'intérêt : plus vous détectez une activité tôt dans la chaîne, moins il est coûteux et risqué de l'arrêter. Attraper la reconnaissance est un désagrément pour l'attaquant. Attraper les actions sur les objectifs signifie que les données sont déjà en train de partir.
Pour quiconque apprend la sécurité offensive, la kill chain est aussi la carte d'un engagement complet. Un vrai test d'intrusion traverse ces mêmes phases, et c'est pourquoi comprendre le modèle rend à la fois les attaquants et les défenseurs plus affûtés.
Les 7 étapes de la cyber kill chain
Quelles sont les 7 étapes de la cyber kill chain ? Les sept étapes sont la reconnaissance, l'armement, la livraison, l'exploitation, l'installation, la commande et contrôle, et les actions sur les objectifs. Chaque étape dépend de la précédente, si bien que le modèle se lit comme une ligne droite de la recherche à l'impact. Voici ce qui se passe à chacune, et comment un défenseur la repère.
1. Reconnaissance
L'attaquant étudie la cible. Cela signifie collecter des adresses e-mail, des noms d'employés, les technologies utilisées, les services exposés et tout ce qui réduit le champ pour trouver une porte d'entrée. Une partie est passive et silencieuse, tirée de sources publiques comme le site de l'entreprise, les offres d'emploi et les réseaux sociaux. Une autre est active, comme le scan de ports ouverts et de services en cours d'exécution.
Les défenseurs détectent le versant actif en surveillant les scans de ports et le crawling inhabituel, et réduisent le versant passif en limitant ce qu'ils publient. Côté offensif, c'est là que des outils comme Nmap prennent tout leur sens. Notre aide-mémoire Nmap couvre les commandes exactes utilisées pour cartographier les ports ouverts et les services d'une cible pendant cette phase.
2. Armement
L'attaquant fabrique l'outil qui servira réellement à s'introduire. Classiquement, cela consiste à associer un exploit à une charge utile, par exemple en intégrant une macro malveillante dans un document ou en dissimulant un exploit dans un fichier d'apparence inoffensive. Cette étape se déroule entièrement sur la machine de l'attaquant, il n'y a donc encore rien à détecter chez la cible.
Comme l'armement est invisible pour le défenseur, la valeur défensive ici est le renseignement : comprendre quelles charges utiles et quels formats de livraison les attaquants privilégient permet d'ajuster la détection pour les étapes suivantes. Vous ne voyez pas l'arme se construire, mais vous pouvez vous préparer à la façon dont elle arrive habituellement.
3. Livraison
L'arme atteint la cible. La méthode de livraison la plus courante, de loin, est un e-mail de phishing avec une pièce jointe ou un lien malveillant. Il y a aussi les sites web compromis, les clés USB infectées et l'exploitation directe d'un service exposé. La livraison est la première étape où l'attaquant touche votre environnement, ce qui en fait la première vraie occasion de le bloquer.
C'est là que le filtrage des e-mails, l'analyse des liens et la sensibilisation des utilisateurs paient. Un message de phishing qui n'atteint jamais une boîte de réception est une attaque qui s'arrête à l'étape trois. Le filtrage web et le blocage des domaines malveillants connus coupent la voie du téléchargement furtif.
4. Exploitation
La charge utile se déclenche. Un utilisateur ouvre la pièce jointe, un service vulnérable interprète l'entrée malveillante, et le code de l'attaquant s'exécute. C'est le moment où une faille dans un logiciel ou dans le comportement humain se transforme en exécution effective de code sur la cible. Les failles d'applications web comme l'injection SQL et l'injection de commandes se situent ici aussi, lorsque l'entrée se fait par une application exposée sur Internet.
L'application des correctifs élimine les vulnérabilités dont dépend l'exploitation. La protection des postes et le durcissement des applications attrapent ou bloquent l'exploit au moment où il se déclenche. Pour comprendre cette étape depuis la place de l'attaquant, pratiquer l'exploitation web sur des cibles volontairement vulnérables est le moyen le plus rapide de voir comment une simple entrée non contrôlée devient un point d'appui.
5. Installation
L'attaquant établit une persistance. Faire exécuter du code une seule fois ne suffit pas, car un redémarrage ou une session fermée mettrait fin à l'accès. Il installe donc une porte dérobée, crée une tâche planifiée, ajoute un service ou dépose un web shell qui survit et lui permet de revenir à volonté. Une forme courante de ce point d'appui est un reverse shell qui rappelle vers l'attaquant.
Les défenseurs traquent les artefacts que laisse la persistance : nouveaux services, tâches planifiées étranges, entrées de démarrage inattendues et fichiers dans des endroits où ils ne devraient pas être. Notre aide-mémoire reverse shell montre comment les attaquants mettent en place ce rappel, ce que les équipes bleues apprennent justement à reconnaître dans les journaux.
6. Commande et contrôle (C2)
Le point d'appui installé rappelle à la maison. La machine compromise ouvre un canal vers le serveur de l'attaquant afin de recevoir des instructions et de renvoyer des données. Le C2 moderne se cache dans un trafic d'apparence normale, en utilisant HTTPS, DNS ou même des services cloud de confiance pour se fondre dans tout ce qui sort du réseau.
Cette étape est un point de détection solide, car le trafic doit franchir la frontière du réseau. Surveiller les connexions sortantes, inspecter le DNS à la recherche de tunneling et bloquer les infrastructures C2 connues brisent le canal. Coupez le lien C2 et l'attaquant se retrouve avec un point d'appui qu'il ne peut plus piloter.
7. Actions sur les objectifs
L'attaquant fait ce pour quoi il est venu. Maintenant qu'il dispose du contrôle et d'un canal, il poursuit son vrai but : voler des données, chiffrer des systèmes contre rançon, altérer des enregistrements ou s'enfoncer plus profondément dans le réseau vers des cibles de plus grande valeur. Atteindre cette étape passe généralement par l'élévation de privilèges et le mouvement latéral dans l'environnement interne.
À ce stade, la détection est plus difficile et les dégâts sont plus proches, raison pour laquelle le modèle pousse les défenseurs à attraper les attaquants plus tôt. Comprendre comment les attaquants grimpent d'un point d'appui à faibles privilèges jusqu'au contrôle total est un savoir essentiel pour l'équipe bleue ; notre guide sur l'élévation de privilèges détaille les techniques employées dans cette phase finale.
Cyber kill chain vs MITRE ATT&CK
On compare sans arrêt ces deux référentiels, et les personnes qui débutent en sécurité pensent souvent devoir choisir. Ils résolvent des problèmes différents et fonctionnent bien ensemble.
La cyber kill chain est linéaire et stratégique. Elle vous donne sept grandes phases et une histoire simple : une attaque progresse de gauche à droite, alors décalez votre détection le plus à gauche possible. Elle est facile à expliquer à un responsable et constitue un bon modèle mental pour structurer les défenses à haut niveau.
MITRE ATT&CK est une base de connaissances granulaire des comportements réels des adversaires. Au lieu de sept phases, elle catalogue quatorze tactiques et des centaines de techniques précises, chacune documentée avec des exemples réels et des conseils de détection. Elle n'est pas linéaire, car les vrais attaquants bouclent, sautent et répètent des étapes. ATT&CK vous dit exactement comment fonctionne une technique et comment la repérer.
| Aspect | Cyber kill chain | MITRE ATT&CK |
|---|---|---|
| Structure | Linéaire, 7 étapes | Matrice, 14 tactiques, des centaines de techniques |
| Niveau | Stratégie de haut niveau | Granulaire, technique par technique |
| Créé par | Lockheed Martin, 2011 | MITRE, première publication en 2013 |
| Idéal pour | Expliquer le déroulé d'une attaque, planifier une défense en couches | Détection des menaces, cartographie red-team, analyse des lacunes |
| Faiblesse | Centré sur le périmètre et les malwares | Vaste et complexe à adopter pleinement |
La réponse pratique : servez-vous de la kill chain pour expliquer la forme d'une attaque et structurer vos couches, puis d'ATT&CK pour être précis sur les techniques à détecter à chaque couche. L'une est la carte, l'autre le détail au niveau de la rue.
Comment les défenseurs brisent la kill chain
Si le modèle compte, c'est parce que briser un seul maillon arrête l'attaque. Lockheed Martin a associé les sept étapes à une matrice de six actions défensives que vous pouvez mener contre une activité, quelle que soit l'étape : détecter, refuser, perturber, dégrader, tromper et détruire.
- Détecter. Savoir que l'activité a lieu, grâce à la journalisation, à la détection d'intrusion et à la surveillance. Vous ne pouvez pas agir sur ce que vous ne voyez pas.
- Refuser. Empêcher l'activité purement et simplement, par exemple en corrigeant une vulnérabilité ou en bloquant un e-mail pour que la livraison n'aboutisse jamais.
- Perturber. Interrompre une attaque en cours, comme tuer un processus malveillant ou couper une connexion C2 en pleine session.
- Dégrader. Ralentir l'attaquant pour que son effort coûte plus qu'il ne rapporte, ce qui vous donne le temps de réagir.
- Tromper. Fournir de fausses informations à l'attaquant, très concrètement avec des pots de miel qui lui font perdre du temps sur de fausses cibles.
- Détruire. Neutraliser la menace, en général en dernier recours une fois l'attaque confirmée et contenue.
Croiser ces actions avec les sept étapes produit une défense en couches. Si le phishing franchit votre filtre d'e-mails à la livraison, la protection des postes peut encore refuser l'exploitation. Si un point d'appui s'installe malgré tout, la surveillance réseau peut perturber sa commande et contrôle. Aucun contrôle n'a besoin d'être parfait, car l'attaquant a besoin de toutes les étapes tandis que vous n'avez besoin que d'une seule coupure nette. Cette logique en couches est le travail quotidien d'un défenseur ; si ce versant vous attire, notre guide de carrière analyste SOC explique à quoi ressemble le parcours de l'équipe bleue.
Une vraie attaque à travers la kill chain
Les modèles inspirent plus confiance quand on y fait passer un exemple concret. Prenez un schéma d'intrusion courant qui se termine par un rançongiciel, et regardez-le avancer étape par étape.
Tout commence par la reconnaissance : l'attaquant récupère sur LinkedIn les noms de l'équipe financière et découvre que l'entreprise utilise un outil de facturation connu. À l'armement, il forge un document de facture avec une macro malveillante adaptée à cet outil. La livraison est un e-mail convaincant à un employé de la comptabilité fournisseurs, faisant référence à un vrai fournisseur. À l'exploitation, l'employé active les macros et la charge utile s'exécute. Pendant l'installation, elle crée une tâche planifiée pour que l'accès survive à un redémarrage. Le point d'appui ouvre ensuite une commande et contrôle en HTTPS qui ressemble à un trafic web ordinaire. Enfin, dans les actions sur les objectifs, l'attaquant élève ses privilèges, se propage vers les serveurs de fichiers et déclenche le rançongiciel.
Relisez maintenant du point de vue du défenseur. Le filtrage des e-mails aurait pu arrêter la livraison. Désactiver les macros par défaut aurait pu bloquer l'exploitation. La surveillance des postes aurait pu signaler la tâche planifiée à l'installation. L'inspection du trafic sortant aurait pu attraper la balise C2. N'importe laquelle de ces mesures brise la chaîne avant que le rançongiciel ne s'exécute. La peur du point unique de défaillance que vous inspire la sécurité se retourne en point unique de sauvetage : l'attaquant doit gagner sept fois d'affilée, et vous n'avez à gagner qu'une seule fois.
Lors de tests sur de vrais environnements, c'est exactement ainsi qu'un défenseur reconstitue un incident après coup, en remontant les preuves à travers les étapes pour trouver où tout a commencé et où on aurait pu l'arrêter. Avoir pratiqué le parcours offensif d'abord est ce qui rend cette reconstitution intuitive.
Les limites de la cyber kill chain
Le modèle est utile, mais il a quinze ans et cela se voit. Le prendre pour parole d'évangile crée des angles morts, alors autant être honnête sur ses faiblesses.
Sa plus grande faiblesse est son orientation périmètre et logiciels malveillants. La chaîne classique suppose un intrus venu de l'extérieur qui s'introduit avec une charge utile malveillante. Elle s'applique mal à un initié qui possède déjà un accès légitime, au vol d'identifiants où l'attaquant se contente de se connecter, et aux attaques qui ne déposent jamais le moindre fichier. S'il n'y a pas de malware armé, plusieurs étapes ne s'appliquent quasiment pas.
Elle peine aussi avec le cloud. Le modèle a été écrit pour un monde de réseaux sur site avec un intérieur et un extérieur nets. Dans les environnements cloud et pilotés par l'identité, où la frontière est une API et un jeton d'accès plutôt qu'un pare-feu, le joli flux de gauche à droite devient flou. Les attaques sur des buckets de stockage mal configurés ou des rôles trop permissifs n'entrent pas proprement dans les sept cases.
Et les vraies attaques sont rarement aussi linéaires que le schéma. Les adversaires reviennent en arrière, exécutent des étapes en parallèle et en sautent complètement. C'est la principale raison pour laquelle beaucoup d'équipes s'appuient désormais d'abord sur MITRE ATT&CK pour l'ingénierie de détection et conservent la kill chain comme récit de haut niveau. La bonne façon de l'utiliser en 2026 est comme modèle pédagogique et cadre stratégique, pas comme une liste de contrôle que chaque attaque respecterait à la lettre.
Considérations légales et éthiques
Rappel essentiel : Comprendre comment se déroulent les attaques est un savoir défensif, mais pratiquer les étapes offensives exige une autorisation explicite. Mener de la reconnaissance, de l'exploitation ou de la commande et contrôle contre des systèmes qui ne vous appartiennent pas ou que vous n'avez pas l'autorisation écrite de tester constitue un accès non autorisé. Aux États-Unis, cela relève du Computer Fraud and Abuse Act (CFAA, 18 USC 1030) ; le Royaume-Uni applique le Computer Misuse Act 1990 ; et l'UE la directive 2013/40/UE. Obtenez toujours une autorisation écrite avant de tester un système.
La kill chain est enseignée aux défenseurs précisément pour qu'ils puissent construire des contrôles, répondre aux incidents et raisonner sur les adversaires. La référence pour le volet réponse est le guide de gestion des incidents du NIST (SP 800-61), qui correspond étroitement à la détection et au confinement d'un attaquant qui progresse à travers ces étapes.
Il existe trois endroits où pratiquer légalement les techniques offensives : les missions de test d'intrusion autorisées sous contrat signé, les programmes de bug bounty dans leur périmètre publié, et les plateformes de labs cloisonnés conçues pour être attaquées. Les labs de HackerDNA relèvent de la troisième catégorie : de vraies cibles vulnérables sans aucun risque juridique, pendant que vous apprenez toute la chaîne des deux côtés.
Questions fréquentes
Qui a créé la cyber kill chain ?
Lockheed Martin a créé la cyber kill chain, en la publiant dans un article de 2011 signé Eric Hutchins, Michael Cloppert et Rohan Amin. Ils ont adapté le concept militaire de kill chain à la défense des réseaux informatiques, en soutenant que les intrusions sont des campagnes structurées avec des phases détectables plutôt que des événements isolés. On appelle souvent cette approche la défense pilotée par le renseignement.
Quelles sont les 7 étapes de la cyber kill chain ?
Les sept étapes sont la reconnaissance, l'armement, la livraison, l'exploitation, l'installation, la commande et contrôle, et les actions sur les objectifs. Elles se suivent dans l'ordre, chacune dépendant de la précédente, si bien qu'un attaquant doit franchir chaque étape pour réussir. Briser une seule étape arrête toute l'attaque, ce qui est l'idée centrale du modèle.
Quelle est la différence entre la cyber kill chain et MITRE ATT&CK ?
La cyber kill chain est un modèle linéaire et de haut niveau des sept phases d'une attaque, idéal pour expliquer la forme d'une intrusion. MITRE ATT&CK est une base de connaissances détaillée et non linéaire de quatorze tactiques et de centaines de techniques précises, utilisée pour la détection et la cartographie red-team. La plupart des équipes utilisent la kill chain pour la stratégie et ATT&CK pour le détail au niveau des techniques.
La cyber kill chain est-elle encore pertinente en 2026 ?
Oui, en tant que modèle pédagogique et cadre stratégique, mais pas comme une liste de contrôle littérale. Elle reste un excellent moyen d'expliquer comment progressent les attaques et de structurer des défenses en couches. Ses limites apparaissent avec les menaces internes, les attaques basées sur les identifiants et les environnements cloud, raison pour laquelle beaucoup d'équipes la combinent avec MITRE ATT&CK pour le travail de détection détaillé.
Quelle étape est le meilleur endroit pour arrêter un attaquant ?
Le plus tôt possible, idéalement avant l'exploitation. Détecter la reconnaissance ou bloquer la livraison coûte très peu à l'attaquant et ne vous coûte presque rien à récupérer. Plus vous attrapez une intrusion tard, plus elle est proche des actions sur les objectifs, où les données partent déjà ou les systèmes sont déjà chiffrés et les dégâts bien réels.
En quoi la kill chain aide-t-elle les défenseurs ?
Elle permet aux défenseurs d'associer des contrôles de sécurité à chaque étape et de bâtir une défense en couches, de sorte qu'aucun contrôle n'a besoin d'être parfait. Comme l'attaquant doit franchir toutes les étapes alors que le défenseur n'a qu'à en briser une, le modèle transforme un point unique de défaillance en de multiples occasions d'intervenir. Il donne aussi aux équipes un vocabulaire commun sur l'état d'une attaque et sur la suite à donner.
Vos prochaines étapes
La cyber kill chain mérite d'être intériorisée parce qu'elle change votre façon de voir une attaque. Au lieu d'un événement terrifiant unique, une intrusion devient une séquence avec sept occasions d'intervenir, et votre rôle de défenseur est de faire échouer l'attaquant ne serait-ce qu'à une seule. En tant qu'attaquant ou pentester, c'est la liste de contrôle que suivent vos propres missions, du premier scan à l'objectif final.
Le moyen le plus rapide d'ancrer le modèle est de dérouler les étapes vous-même. Commencez par le lab Hack the Box pour passer de la reconnaissance à un point d'appui puis à l'élévation de privilèges sur une même cible, puis attaquez-vous au cours complet de test d'intrusion réseau pour parcourir reconnaissance, exploitation, commande et contrôle, et post-exploitation sur un réseau en direct, de bout en bout.
L'offre gratuite de HackerDNA vous donne des labs dans le navigateur, sans carte bancaire et sans installation locale. Apprenez la chaîne des deux côtés, et vous verrez où chaque attaque peut se briser.
Dernière révision : juillet 2026.
