Taxonomie et définitions

Pour étudier les opérations d'influence en ligne ou de manipulation de l'information en nous appuyant sur les matrices DISARM et DIMA il convient de définir en amont un certain nombre de concepts et de fixer le vocabulaire associé. Nous reprendrons ici les approches développés par Anaïs Meunier dans son article "Moscou s'en mêle, décryptage des opérations informationnelles russes à travers les outils et méthodes de la CTI" et Bertrand Boyer dans "Lutte contre la Manipulation de l’Information (LMI) et terminologie: “Houston we have a problem”. Les deux approches cherchent à capitaliser sur les méthodes de classification utilisées en cybersécurité.

1. Mode Opératoire Adverse (MOA) ou Intrusion Set : Selon la définition STIX 2.1, un Intrusion Set désigne un ensemble de comportements et de ressources adverses coordonnés par une organisation ou entité unique. Contrairement à une campagne, qui se concentre sur des attaques spécifiques et limitées dans le temps pour atteindre un objectif précis, un Intrusion Set regroupe l’ensemble des ressources, techniques et tactiques utilisées à long terme pour mener plusieurs campagnes distinctes. Ces activités sont liées par des attributs communs qui pointent vers un même acteur de la menace, même si cet acteur reste parfois difficile à identifier avec précision. Un Intrusion Set peut rester actif sur plusieurs années, changer de forme ou d’objectif, mais il conserve une cohérence dans ses caractéristiques, ce qui rend son attribution complexe. 
2. Campagne : série d'actions successives mises en œuvre par acteur malveillant (threat actor) suivant un MOA pour atteindre un objectif. Une campagne s'inscrit dans le temps (généralement plusieurs mois) et met en œuvre un ensemble varié de techniques et de tactiques. Une campagne s'appuie sur des infrastructures d'attaque.
3. Infrastructure: Ensemble de moyens techniques utilisés lors d'une opération ou une campagne. Le réseau de sites web Portal Combat est une infrastructure par le MOA Doppelgänger.