Intelligence sur les menaces
Définition
L'intelligence sur les menaces (threat intelligence) est l'information structurée sur les attaquants, leurs méthodes et leurs outils. Elle permet à une équipe de sécurité d'anticiper les attaques au lieu de les subir. Elle se consomme sous forme de flux (feeds), d'indicateurs et de rapports d'analystes.
Les types de renseignement
L'intelligence stratégique décrit les tendances : quels secteurs sont ciblés, quels groupes d'attaquants sont actifs. L'intelligence opérationnelle décrit les campagnes en cours : quelles méthodes sont utilisées ce trimestre. L'intelligence tactique décrit les détails techniques : adresses IP malveillantes, domaines, empreintes de malwares.
Les TTP et les IOC
Les TTP (tactics, techniques and procedures) décrivent le comportement de l'attaquant. La tactique est l'objectif (accès initial, exfiltration), la technique est la méthode (phishing, exploitation d'une faille), la procédure est la mise en œuvre précise. Le framework MITRE ATT&CK organise ces TTP en matrice consultable.
Les IOC (indicators of compromise) sont des traces observables : une adresse IP, un domaine, un hash de fichier, une règle de registre. Un IOC se cherche dans les journaux et se bloque dans les outils de sécurité. Un IOC seul est faible : il change vite. Les TTP restent pertinentes plus longtemps.
Les flux et les sources
Un flux de menaces (threat feed) fournit des listes d'IOC mises à jour en continu : AlienVault OTX, MISP, Talos, les flux open source. Les ISAC (Information Sharing and Analysis Centers) partagent les informations entre organisations d'un même secteur : les banques, les hôpitaux, l'énergie. En France, le CERT-FR publie des avis pour les organismes publics.
Partager ses propres observations avec un ISAC renforce la communauté entière : une attaque vue chez vous sera bloquée chez les autres.
Exemple concret
Le flux de l'ISAC bancaire signale une campagne de phishing qui utilise un faux portail de connexion nommé secure-bank-verif.com. L'équipe bloque le domaine au niveau du DNS et du proxy, ajoute le hash du fichier joint aux signatures antivirus et rédige un avertissement aux collaborateurs. Deux semaines plus tard, le même domaine apparaît dans les journaux d'un confrère : il est déjà bloqué.