Définition simple
CAPEC est le catalogue MITRE des schémas d’attaque courants. Il décrit des approches qu’un adversaire peut employer pour exploiter des faiblesses.
Objectif et usage
Il aide à modéliser les menaces, à former les développeurs et à définir des vérifications de sécurité cohérentes avec les mécanismes d’attaque.
Comment ça fonctionne ?
Une entrée peut relier un objectif, des prérequis, un déroulement, des conséquences et des mesures de réduction du risque. Des liens vers CWE précisent les faiblesses concernées.
Points clés
- Exemple : un modèle de menace d’application utilise un schéma d’injection pour identifier les contrôles à vérifier.
- Comparer les prérequis du schéma avec l’architecture réelle avant de retenir un scénario.
Points d’attention
CAPEC ne constitue pas une liste de vulnérabilités confirmées sur votre application. Un schéma d’attaque, une faiblesse CWE et une vulnérabilité CVE sont des objets différents.
En résumé
CAPEC décrit des façons d’attaquer afin d’améliorer la conception et la vérification des défenses.