Glossaire cybersécurité

L'authentification à deux facteurs (2FA) est une méthode d'authentification électronique qui ajoute une couche de sécurité supplémentaire aux comptes en ligne, en vérifiant l'identité de l'utilisateur à l'aide de deux éléments distincts.

L'analyse de malware (ou analyse de logiciels malveillants) est le processus qui consiste à examiner un logiciel malveillant pour comprendre son fonctionnement, ses actions et la façon de le détecter et de le neutraliser. En disséquant le code, la structure et le comportement d'un échantillon, les analystes déterminent son objectif, ses capacités et son impact potentiel, puis extraient les indicateurs de compromission (IoC) nécessaires pour le traquer et se défendre contre lui. Ce travail transforme un fichier suspect inconnu en données exploitables qui alimentent directement la réponse à incident, le renseignement sur les cybermenaces et l'ingénierie de détection. Trois grandes approches couvrent la majorité des scénarios : l'analyse statique (examen d'un fichier sans l'exécuter), l'analyse dynamique (exécution dans un bac à sable pour observer le comportement) et l'analyse hybride (combinaison des deux). Pour les échantillons les plus avancés, l'ingénierie inverse (reverse engineering) va encore plus loin.

Anonymous Sudan est un groupe hacktiviste apparu en janvier 2023, devenu connu pour une campagne soutenue d'attaques par déni de service distribué (DDoS) contre des organisations aux États-Unis, en Europe, au Moyen-Orient et au-delà. Le groupe s'est présenté comme des hacktivistes soudanais agissant en représailles à des actes perçus comme anti-musulmans, mais sa sélection de cibles s'est systématiquement alignée sur des intérêts pro-russes et anti-occidentaux, et il a opéré en étroite collaboration avec le groupe pro-russe Killnet. Microsoft suit le groupe sous le nom de Storm-1359. En octobre 2024, le Département de la Justice américain a dévoilé un acte d'accusation contre deux frères soudanais présumés être à la tête de l'opération, et a annoncé la saisie de ses outils d'attaque DDoS. Anonymous Sudan s'est distingué moins par sa nouveauté technique que par son ampleur, sa mise en scène, et le fait qu'il a vendu sa capacité d'attaque à des tiers sous forme de service DDoS à la demande. Cette page couvre les origines du groupe et son attribution contestée, ses méthodes opératoires, ses attaques notables, le démantèlement par les autorités en 2024, et comment les organisations se défendent contre ce type d'attaques.

APT27 est un groupe de cyberespionnage lié à la Chine, actif depuis au moins 2010, connu pour des intrusions de longue durée visant à dérober des informations auprès de cibles gouvernementales et industrielles dans le monde entier. Il est largement évalué comme parrainé par l'État chinois, et suivi sous un grand nombre de noms, les plus courants étant Emissary Panda, LuckyMouse et Iron Tiger. MITRE ATT&CK le répertorie sous l'identifiant G0027. Sur plus d'une décennie, le groupe a constitué un arsenal étendu et une réputation de pénétrer un réseau et d'y rester, parfois indétecté pendant des mois ou des années. APT27 est un acteur patient et orienté accès plutôt que rapide et brutal. Il s'introduit généralement via des applications web exposées sur Internet, établit un point d'appui discret, et travaille à étendre son accès et à collecter du renseignement sur le long terme. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, ses malwares et ses campagnes notables, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

APT28 (également connu sous le nom de Fancy Bear) est un acteur étatique russophone actif depuis au moins 2004. Attribué au GRU (renseignement militaire russe), le groupe est spécialisé dans le cyber espionnage, en ciblant des organisations gouvernementales, militaires et sécuritaires à travers le monde pour collecter des renseignements stratégiques et peser sur les dynamiques politiques.

APT29 est un groupe de cyberespionnage parrainé par l'État russe, attribué par les gouvernements américain, britannique et d'autres alliés au Service de renseignement extérieur russe (SVR). Actif depuis au moins 2008, c'est l'un des acteurs étatiques les plus capables et les plus persistants suivis par la communauté de la sécurité, défini par sa discrétion opérationnelle, ses longs temps de présence (dwell time) et son focus sur la collecte de renseignement plutôt que sur la perturbation ou la destruction. APT29 est également connu sous les noms de Cozy Bear, Midnight Blizzard (la désignation actuelle de Microsoft), Nobelium et The Dukes ; MITRE ATT&CK le suit sous la référence G0016. Il est surtout connu pour la compromission de la chaîne d'approvisionnement SolarWinds en 2020 et, plus récemment, pour avoir infiltré les systèmes d'entreprise de Microsoft. Contrairement aux acteurs plus bruyants, APT29 privilégie la sécurité opérationnelle et des accès difficiles à détecter, et s'est progressivement éloigné des intrusions lourdes en malwares pour adopter un savoir-faire centré sur le cloud et les identités. Cette page couvre l'attribution du groupe et ses alias, sa place dans l'écosystème des menaces russes, ses campagnes notables, ses méthodes opérationnelles actuelles et comment les organisations peuvent s'en défendre.

APT31 est un groupe de cyberespionnage parrainé par l'État chinois qui collecte du renseignement au service des intérêts de la République populaire de Chine (RPC). Actif depuis plus d'une décennie, il est surtout connu pour ses campagnes de hameçonnage ciblé contre des gouvernements, des personnalités politiques, des infrastructures critiques et des entreprises, ainsi que pour le vol de renseignements politiques et de secrets commerciaux. En mars 2024, les États-Unis et le Royaume-Uni ont formellement rattaché le groupe au ministère de la Sécurité d'État (MSS) chinois, sanctionnant une société écran et inculpant ou sanctionnant plusieurs individus. L'acteur est suivi sous plusieurs noms, le plus souvent Zirconium, Judgment Panda et Violet Typhoon, et MITRE ATT&CK le répertorie sous l'identifiant G0128. Le ciblage d'APT31 suit les priorités stratégiques de la RPC plutôt qu'un secteur unique, et ses méthodes reposent largement sur des services légitimes et des routeurs domestiques et de bureau compromis pour dissimuler son activité. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, ses campagnes notables et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

APT37 est un groupe de cyberespionnage parrainé par l'État nord-coréen, actif depuis au moins 2012. Il est surtout connu pour une collecte de renseignement discrète et de longue durée contre des cibles sud-coréennes, et il a régulièrement élargi son périmètre et affiné ses techniques opérationnelles au cours de la dernière décennie. Le groupe est suivi sous de nombreux noms, les plus courants étant Reaper et ScarCruft, et le framework MITRE ATT&CK le répertorie sous l'identifiant G0067. Son outil signature, un cheval de Troie d'accès à distance (RAT) appelé ROKRAT, et son habitude de dissimuler le trafic de commande et contrôle (C2) dans des services cloud ordinaires sont devenus des traits distinctifs. Comparé aux opérations nord-coréennes à motivation financière, APT37 est avant tout une unité de renseignement. Sa mission est de collecter des informations qui soutiennent les décisions politiques, militaires et économiques du régime, et son ciblage le reflète : les personnes et les institutions qui façonnent ou étudient la politique vis-à-vis de la Corée du Nord. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, ses campagnes notables, et comment les organisations se défendent contre un acteur conçu pour un accès discret et persistant.

L'open XDR est une approche de la détection et réponse étendues (XDR), indépendante des éditeurs, qui unifie la détection des menaces, l'investigation et la réponse à incident sur l'ensemble du système d'information d'une organisation, sans l'obliger à standardiser ses outils autour d'un seul éditeur. Également appelé hybrid XDR, il agit comme une couche d'analyse et d'orchestration posée sur les meilleures solutions existantes du marché : détection et réponse sur les terminaux (EDR), détection réseau (NDR), cloud, identité, messagerie, SIEM, SOAR. La plateforme ingère leur télémétrie via des API ouvertes et des connecteurs, la normalise dans un modèle de données commun, la corrèle grâce à l'IA et au renseignement sur les cybermenaces pour faire remonter des incidents à haute fidélité, et déclenche des actions de réponse automatisées dans les outils sources. La distinction fondamentale est avec le native XDR, également appelé closed XDR : une plateforme tout-en-un proposée par un seul éditeur. La promesse centrale de l'open XDR est d'assurer une détection et réponse unifiées tout en préservant les investissements de sécurité existants, et en évitant la dépendance vis-à-vis d'un éditeur unique.

AridViper, également connu sous les noms d'APT-C-23 ou Desert Falcon, est un acteur de la menace dont l'affiliation présumée est le Hamas, et qui cible principalement des organisations israéliennes à des fins d'espionnage.

Une attaque Command and Control (C2) est une technique par laquelle un attaquant établit un canal de communication covert entre un appareil compromis et un serveur qu'il opère, appelé serveur C2 (également écrit C&C), afin d'émettre des instructions à distance et de recevoir des données dérobées. Une fois ce canal actif, l'adversaire peut télécharger des malware supplémentaires, se déplacer latéralement dans le réseau, exfiltrer des données sensibles ou enrôler la machine dans un botnet. Le command and control s'inscrit parmi les dernières étapes de la Cyber Kill Chain, ce qui signifie que lorsque le C2 est établi, les premières défenses ont déjà été contournées. C'est pourquoi une détection rapide du C2 est déterminante pour les équipes de sécurité.

Le ransomware BlackCat, également connu sous le nom d'ALPHV, est un groupe de rançongiciel sophistiqué apparu fin 2021, doté de capacités multiplateformes avancées lui permettant de cibler Windows, Linux et VMware ESXi.

Bluenoroff est un groupe APT nord-coréen parrainé par l'État, considéré comme un sous-groupe de Lazarus, et principalement motivé par le gain financier plutôt que par l'espionnage.

Les bonnes pratiques SOC désignent les processus rigoureux, les habitudes d'amélioration continue et la culture de vigilance qu'un Security Operations Center (SOC) efficace doit adopter pour renforcer la posture de cybersécurité d'une organisation.

Le ransomware Cactus est un rançongiciel qui chiffre les fichiers de ses victimes et exige le paiement d'une rançon en échange de la restauration des données volées et chiffrées.

Calisto est un groupe de cyberespionnage parrainé par l'État russe, actif depuis au moins 2017, surtout connu pour son harponnage (spearphishing) patient et très ciblé visant à voler les identifiants de personnes qui comptent pour le renseignement russe. En décembre 2023, une déclaration conjointe des États-Unis, du Royaume-Uni, du Canada, de l'Australie et de la Nouvelle-Zélande a attribué le groupe au Service fédéral de sécurité (FSB) russe, spécifiquement à son Centre 18. L'acteur est suivi sous plusieurs noms, les plus courants étant Calisto (également orthographié Callisto), Star Blizzard et COLDRIVER. Contrairement aux groupes qui s'appuient sur des malwares élaborés, les techniques opérationnelles de Calisto reposent sur l'ingénierie sociale et le vol d'identité. Il étudie ses cibles, se fait passer pour des contacts de confiance et les attire vers des pages de collecte d'identifiants, puis utilise les accès volés pour collecter du renseignement ou faire fuiter des documents au service d'opérations d'influence russes. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

Le callback phishing (ou hameçonnage par rappel) est une attaque d'ingénierie sociale dans laquelle un leurre, généralement un e-mail, pousse la victime à appeler un numéro de téléphone plutôt que de cliquer sur un lien ou d'ouvrir une pièce jointe. Quand la victime appelle, un attaquant se faisant passer pour un agent d'assistance d'une marque de confiance utilise une conversation scriptée pour soutirer des identifiants ou des mots de passe à usage unique (OTP), obtenir un paiement, ou convaincre la victime d'installer un logiciel d'accès à distance. Parce que l'e-mail ne contient aucun lien malveillant ni pièce jointe, seulement un numéro de téléphone, il contourne les filtres e-mail basés sur le contenu. C'est précisément ce qui rend la technique efficace. Le callback phishing est également connu sous le nom de Telephone-Oriented Attack Delivery (TOAD) et, sous sa forme originale, de BazarCall. Ce qui distingue le callback phishing du phishing ordinaire est le renversement de l'initiative : c'est la victime qui passe l'appel, si bien que l'interaction paraît volontaire et que sa méfiance est abaissée. Des groupes de rançongiciels l'ont adopté comme technique d'accès initial fiable, et il couvre désormais aussi bien les attaques en entreprise que la fraude aux particuliers. Cette page explique son fonctionnement, ses origines, les marques et outils exploités par les attaquants, ses différences avec le vishing et le smishing, et comment les organisations peuvent le détecter et s'en défendre.

Un Computer Emergency Response Team (CERT) est un groupe spécialisé d'experts en cybersécurité chargé de protéger, détecter et répondre aux cyber incidents au sein d'une organisation ou d'un pays. Ces équipes apportent l'expertise technique et la coordination nécessaires pour faire face aux menaces telles que les violations de données, les ransomware et les vulnérabilités systèmes.

ClearFake est un framework JavaScript malveillant utilisé pour distribuer des malwares via des sites web compromis. Il fonctionne en injectant du code dans des sites légitimes, le plus souvent des sites WordPress compromis, puis en trompant les visiteurs pour qu'ils installent un malware via une fausse invite, à l'origine une fausse mise à jour de navigateur et, plus récemment, une fausse vérification CAPTCHA. Apparu pour la première fois en juillet 2023, il appartient à la catégorie plus large des menaces de type "fausses mises à jour" et est devenu l'un des frameworks de distribution de malwares web les plus actifs, évoluant rapidement et adoptant des techniques comme le stockage de ses charges sur la blockchain. Le nom ClearFake vient du fait que le JavaScript injecté était écrit en clair, sans obfuscation, dans les premières versions, ce qui était inhabituel pour ce type de malware. Cette page explique ce qu'est ClearFake, comment sa chaîne d'infection fonctionne, comment ses leurres et sa distribution ont évolué, quels malwares il livre, et comment les organisations le détectent et s'en défendent, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia, qui a analysé la menace dès son émergence.

Constituer une équipe SOC efficace consiste à définir des rôles clairs, des responsabilités et des flux de communication afin que les opérations de détection et de réponse se déroulent de manière fluide, un Security Operations Center ne valant que par les personnes qui le composent.

La compromission des e-mails professionnels (Business Email Compromise, BEC), connue en France sous les termes de fraude au président ou FOVI (Faux Ordre de Virement Informatique), est une forme de fraude ciblée par ingénierie sociale dans laquelle un attaquant usurpe l'identité d'une personne de confiance, comme un dirigeant, un collègue ou un fournisseur, pour pousser un employé à effectuer un virement ou à divulguer des données sensibles. Contrairement au phishing de masse, le BEC est très personnalisé et ne contient généralement ni malware, ni lien malveillant, ni pièce jointe. C'est précisément ce qui le rend si difficile à détecter pour la sécurité e-mail traditionnelle. Il est également connu sous le nom de compromission de compte e-mail (EAC), et le FBI le décrit comme l'une des cybercrimalités en ligne les plus coûteuses qu'il suive. Parce que le BEC exploite des processus commerciaux normaux, une demande urgente du "PDG" ou des coordonnées bancaires "mises à jour" d'un fournisseur, plutôt qu'une vulnérabilité technique, il réussit contre des organisations de toutes tailles et maturités. Cette page explique ce qu'est le BEC, comment une attaque se déroule, les principaux types reconnus par le FBI, pourquoi il est si difficile à détecter, son ampleur réelle et comment les organisations peuvent le prévenir et y répondre.

Construire un Security Operations Center est un investissement stratégique qui nécessite une planification soigneuse couvrant les personnes, les processus et la technologie, avec des points de décision clés qui déterminent si le SOC apportera de la valeur sur le long terme.

Les crypters (« криптер » en russe) sont des logiciels qui chiffrent, obfusquent et manipulent un malware pour lui permettre de contourner les détections de sécurité tout en conservant ses fonctionnalités malveillantes intactes. Un crypter prend une charge utile malveillante connue — comme un infostealer, un cheval de Troie d'accès distant (RAT) ou un ransomware — l'enveloppe dans une couche qui paraît inoffensive aux antivirus et autres outils d'analyse, puis déchiffre et exécute le malware original au moment de l'exécution. Le crypter lui-même n'est pas du code malveillant ; c'est un outil. Mais entre de mauvaises mains, son rôle est de dissimuler un malware et d'en faciliter la livraison, ce qui en fait un composant fondamental de la chaîne d'approvisionnement de la cybercriminalité moderne. L'objectif ultime est d'atteindre le statut FUD, acronyme de Fully UnDetectable (totalement indétectable) : le malware empaqueté échappe à tous les éditeurs de sécurité.

Un CSIRT (Computer Security Incident Response Team, ou équipe de réponse aux incidents de sécurité informatique) est une équipe opérationnelle de sécurité chargée de répondre aux incidents de cybersécurité au sein d'une organisation. Quand un incident est signalé, le CSIRT l'analyse et mène les actions nécessaires pour le contenir et le résoudre. Entre les incidents, il joue un rôle préventif grâce à une surveillance continue des menaces. La même fonction est désignée par plusieurs termes proches : CIRT (Computer Incident Response Team) et, plus généralement, équipe de réponse aux incidents font référence à la même idée, un groupe dédié chargé de gérer les incidents de sécurité de la détection à la remédiation. Un CSIRT existe pour qu'en cas de problème, qu'il s'agisse d'une violation de données, d'une infection par malware ou d'une prise de contrôle de compte, l'organisation dispose d'une équipe préparée avec des rôles clairs plutôt que d'improviser sous pression. Cette page explique ce que fait un CSIRT, les rôles qu'il réunit, les trois types courants, la relation du terme avec CERT et SOC, et comment les organisations en créent un ou travaillent avec un prestataire externe.

CustomerLoader est un malware de type loader qui distribue une grande variété de charges utiles, notamment des infostealers, des chevaux de Troie d'accès à distance et des rançongiciels.

La cybersécurité vise à protéger les réseaux, les systèmes et les données sensibles des organisations contre les attaques numériques, en s'appuyant sur un ensemble d'outils, de processus et de bonnes pratiques.

La Cyber Threat Intelligence (CTI) est la recherche, l'analyse et la modélisation des cybermenaces qui transforment des données brutes sur les attaquants en renseignement contextualisé et actionnable. Elle décrit une menace ou une attaque à travers des indicateurs et un contexte compréhensibles à la fois par des personnes et des machines, afin que les équipes de sécurité puissent anticiper, détecter et répondre aux attaques plutôt que de simplement y réagir. La CTI répond à trois questions fondamentales : qui est susceptible de vous attaquer, comment ces acteurs opèrent et ce que vous pouvez faire avant qu'ils ne réussissent.

DarkGate est un loader doté de capacités de cheval de Troie d'accès à distance, développé en Delphi, connu pour sa furtivité et son agilité à échapper à la détection des antivirus.

DDoSia est une boîte à outils d'attaque par déni de service distribué, développée et utilisée par le groupe hacktiviste pro-russe NoName057(16) contre les pays critiques de l'invasion russe de l'Ukraine.

Un système de détection des intrusions (IDS, Intrusion Detection System) est un outil de sécurité réseau qui surveille le trafic réseau et l'activité des systèmes à la recherche d'activités malveillantes connues, de comportements suspects ou de violations de politiques de sécurité, et déclenche une alerte lorsqu'il détecte quelque chose. Pensez-y comme à une sentinelle : il observe, reconnaît les signes d'une attaque et notifie les équipes de sécurité ou un outil centralisé comme un Security Information and Event Management (SIEM) afin qu'elles puissent investiguer. De façon fondamentale, un IDS est un système passif en écoute seule. Il détecte et signale, mais ne bloque pas les menaces de lui-même. C'est le rôle d'un système de prévention des intrusions (IPS, Intrusion Prevention System), ce qui explique pourquoi les deux sont si souvent déployés ensemble.

XDR, EDR et MDR sont trois approches de détection et de réponse souvent comparées : l'EDR se concentre sur les endpoints, le XDR étend la détection à plusieurs couches au sein d'une plateforme unifiée, et le MDR est un service managé combinant technologie et expertise humaine.

La prévention de la perte de données (DLP, Data Loss Prevention) est un ensemble de stratégies, de processus et de technologies conçus pour empêcher les informations sensibles d'être accédées, mal utilisées ou transmises hors d'une organisation sans autorisation. Une solution DLP identifie et classe les données confidentielles comme les dossiers clients, les informations financières et la propriété intellectuelle, surveille la façon dont ces données sont accédées, utilisées et partagées sur les endpoints, les réseaux et les services cloud, et applique des politiques qui bloquent ou signalent les actions risquées. L'objectif est de prévenir à la fois les fuites accidentelles, comme un employé qui envoie un fichier au mauvais destinataire, et le vol délibéré de données, qu'il soit le fait d'un attaquant externe ou d'un initié malveillant, tout en soutenant la conformité avec des réglementations telles que le Règlement Général sur la Protection des Données (RGPD), la Health Insurance Portability and Accountability Act (HIPAA) et la Payment Card Industry Data Security Standard (PCI DSS).

Doenerium est un infostealer qui collecte et exfiltre discrètement des informations confidentielles depuis les ordinateurs des victimes, telles que des identifiants, des données de navigateur et des portefeuilles de cryptomonnaie.

L'Endpoint Detection and Response (EDR) est une technologie de cybersécurité qui surveille en continu les appareils endpoint tels que les ordinateurs portables, les postes de travail, les serveurs et les appareils mobiles, afin de détecter, d'investiguer et de répondre aux cybermenaces avancées, aux comportements malveillants et aux attaques de malware sans fichier qui contournent les logiciels antivirus traditionnels.

Une plateforme de protection des terminaux (EPP, de l'anglais Endpoint Protection Platform) est une suite intégrée de technologies de sécurité des terminaux fonctionnant ensemble sur un appareil, comme un ordinateur portable, un poste de travail, un serveur ou un appareil mobile, pour détecter et prévenir les menaces. Déployée via un agent léger et gérée de manière croissante depuis le cloud, une EPP combine des capacités telles que l'antivirus de nouvelle génération (NGAV), un pare-feu personnel, le chiffrement des données, la prévention des fuites de données (DLP) et le contrôle des appareils en une solution gérée unifiée. Son objectif principal est la prévention : bloquer les menaces connues et inconnues comme les malwares classiques et sans fichier (fileless), les rançongiciels (ransomware) et les scripts malveillants avant qu'ils ne s'exécutent sur le terminal. En ce sens, l'EPP est l'évolution moderne de l'antivirus traditionnel, allant au-delà de la simple correspondance de signatures pour intégrer l'analyse comportementale, l'apprentissage automatique et le renseignement sur les menaces. Elle constitue la couche de sécurité préventive fondamentale des terminaux, et dans la plupart des déploiements modernes, elle est associée à un outil de détection et réponse aux incidents sur les terminaux (EDR) pour les menaces qui passent à travers.

Les outils de protection des endpoints (EPT) sont des solutions de sécurité conçues pour protéger les terminaux d'une organisation contre les cybermenaces, regroupant notamment antivirus, pare-feux et systèmes de prévention d'intrusion.

FakeBat est un malware de type loader au format MSI, vendu en tant que Malware-as-a-Service et connu pour ses fonctionnalités anti-détection, largement distribué via le malvertising et de fausses mises à jour de navigateur selon la technique du drive-by download.

La fatigue des alertes, également appelée fatigue des alarmes ou fatigue des notifications, est l'état dans lequel se trouvent les analystes de sécurité lorsqu'ils font face à un si grand nombre d'alertes qu'ils se désensibilisent et commencent à les manquer, les ignorer ou les sous-investiguer, y compris celles qui comptent. Dans un centre des opérations de sécurité (SOC), des outils comme un système de gestion des informations et des événements de sécurité (SIEM), une détection et réponse sur les endpoints (EDR) et des dizaines d'autres peuvent générer des dizaines de milliers d'alertes par jour, dont une large part sont des faux positifs. Lorsque tout est signalé comme urgent, plus rien ne l'est, et une véritable intrusion peut passer inaperçue dans le bruit. La fatigue des alertes est à la fois un problème opérationnel et un problème humain. Sur le plan opérationnel, elle ralentit la détection et la réponse et laisse de véritables menaces sans examen. Sur le plan humain, le triage sans fin d'alertes à faible valeur entraîne l'épuisement et le turnover des analystes, ce qui aggrave encore le problème. Cette page explique ce qu'est la fatigue des alertes, ce qui la cause, les dommages qu'elle provoque, et les mesures pratiques par lesquelles les équipes SOC la réduisent.

Le framework MITRE ATT&CK est une base de connaissances mondiale, librement accessible et continuellement mise à jour, sur les tactiques, techniques et procédures (TTP) réelles des adversaires, fondée sur des observations de la façon dont les attaquants se comportent réellement lors d'intrusions. ATT&CK signifie Adversarial Tactics, Techniques, and Common Knowledge. Créé et maintenu par MITRE, une organisation à but non lucratif américaine, le framework catalogue ce que font les attaquants à chaque étape du cycle de vie d'une attaque et donne aux défenseurs un langage commun pour décrire, détecter et répondre aux menaces. Plutôt que de traquer des indicateurs facilement modifiables comme les adresses IP ou les hachages de fichiers, ATT&CK se concentre sur des comportements durables, ce qui en fait un pilier de la détection moderne des menaces, du threat hunting et des opérations de sécurité.

Hatvibe est un loader personnalisé écrit en VBScript, identifié pour la première fois en 2023 et utilisé par l'acteur de la menace UAC-0063, soupçonné d'être lié à APT28 sur la base d'un recoupement de victimologie.

L'intelligence artificielle (IA) en cybersécurité désigne l'utilisation de techniques d'IA — principalement l'apprentissage automatique (machine learning), l'apprentissage profond (deep learning) et l'IA générative — pour renforcer la capacité des organisations à détecter, prévenir, analyser et répondre aux cybermenaces. Plutôt que de s'appuyer uniquement sur des règles statiques et des signatures connues, l'IA analyse de vastes volumes de données (trafic réseau, activité des terminaux, journaux, comportements des utilisateurs, renseignement sur les menaces) pour reconnaître des motifs, signaler des anomalies et anticiper les risques émergents à une vitesse et une échelle qu'aucune équipe humaine ne peut atteindre seule. Le domaine comporte deux volets complémentaires : l'IA pour la sécurité (utilisation de l'IA pour défendre l'organisation) et la sécurité de l'IA (protection des systèmes d'IA eux-mêmes contre des attaques comme l'injection de prompt ou l'empoisonnement de modèles). L'IA devient de plus en plus le modèle opérationnel de la sécurité moderne, alimentant des agents autonomes capables de trier, d'investiguer et de contenir les menaces de bout en bout.

L'IA générative est un type d'intelligence artificielle qui crée de nouveaux contenus, qu'il s'agisse de texte, de code, d'images, d'audio ou de vidéo, en apprenant des motifs à partir de données existantes pour générer de nouvelles données similaires.

La gestion des identités et des accès (IAM, de l'anglais Identity and Access Management) est le cadre de politiques, de processus et de technologies qui garantit que les bonnes identités disposent des bons accès aux bonnes ressources au bon moment. Elle recouvre deux fonctions liées : confirmer qu'un utilisateur, un appareil ou un service est bien ce qu'il prétend être, et ne lui accorder que le niveau d'accès auquel cette identité a droit. Une identité n'est pas uniquement une personne. Il peut s'agir d'un employé, d'un prestataire, d'un client, d'une application, d'une machine ou, de plus en plus, d'un agent IA, chacun ayant besoin d'un accès contrôlé qui lui est propre. L'IAM est important pour deux raisons qui vont dans le même sens : la sécurité et la productivité. Il réduit les possibilités pour un attaquant de détourner des identifiants, et permet aux utilisateurs d'accéder aux outils dont ils ont besoin sans friction. Parce que les identités compromises sont à l'origine de nombreuses compromissions, l'IAM est devenu un fondement de la sécurité moderne plutôt qu'une fonction IT administrative. Cette page explique ce qu'est l'IAM, comment il fonctionne, ses composants fondamentaux, les standards qui le sous-tendent, et comment il s'articule avec des disciplines voisines comme la gestion des accès à privilèges et le Zero Trust.

Un indicateur de compromission (IoC) est une preuve forensique, un artefact observable sur un réseau ou un système, qui indique avec une forte probabilité qu'une violation de sécurité s'est produite ou est en cours. Les IoC courants comprennent les hachages de fichiers de malwares connus, les adresses IP et domaines malveillants, l'infrastructure de commande et contrôle (C2), les clés de registre suspectes et les schémas de connexion ou de trafic anormaux. Considérez les IoC comme les empreintes numériques laissées par un attaquant. Les équipes de sécurité les utilisent de deux manières : de façon réactive, pour enquêter sur un incident suspecté, retracer le parcours d'un attaquant et évaluer les dommages ; et de façon proactive, en alimentant les outils de détection avec des IoC connus afin qu'une alerte se déclenche automatiquement si le même artefact réapparaît. Ce second usage est ce qui rend les flux de renseignement sur les menaces et le partage d'IoC si précieux. Les IoC sont un élément fondamental du renseignement sur les cybermenaces (cyber threat intelligence, CTI), de l'ingénierie de détection et de la réponse aux incidents.

Un ISAC (Information Sharing and Analysis Center, soit centre d'analyse et de partage d'information) est une organisation à but non lucratif, pilotée par ses membres, qui sert de hub central de confiance pour collecter, analyser et partager les informations sur les cybermenaces et les menaces physiques au sein d'un secteur d'infrastructure critique spécifique : finance, santé, énergie, transport, entre autres. Les ISAC permettent un partage bidirectionnel entre le secteur privé et les pouvoirs publics : ils collectent des données sur les menaces auprès de leurs membres et de sources comme la CISA, les enrichissent et les analysent, puis diffusent du renseignement exploitable en retour via des canaux sécurisés. Le principe directeur est celui de la défense collective : une menace identifiée par une organisation peut protéger l'ensemble d'un secteur. Apparus aux États-Unis en 1999 à la suite de la Presidential Decision Directive 63 (PDD-63), les ISAC opèrent aujourd'hui dans des dizaines de secteurs et gagnent du terrain à l'international.

Kinsing est une famille de malwares écrite en langage Go qui cible principalement les serveurs Linux ainsi que les environnements cloud et de conteneurs pour miner des cryptomonnaies. Elle tire son nom du binaire déposé sur les systèmes infectés et est également connue sous le nom de H2Miner. Analysée pour la première fois début 2020, elle se comporte comme un ver informatique, se propageant de manière autonome en scannant et en compromettant des systèmes exposés ou mal configurés, et elle reste active et en constante évolution aujourd'hui. Parce que son objectif principal est de détourner la puissance de traitement d'un serveur pour miner des cryptomonnaies, elle constitue une forme de cryptojacking. Le nom Kinsing désigne à la fois le malware lui-même et l'activité à motivation financière qui le déploie. Cette page explique ce qu'est Kinsing, comment il infecte les systèmes et ce qu'il fait une fois à l'intérieur, ce qu'il cible, comment il a évolué, et comment les organisations le détectent et s'en défendent.

Un SOC moderne s'appuie sur un ensemble d'outils essentiels, dont le SIEM, l'EDR, le XDR, le SOAR et le NDR, qui fonctionnent ensemble pour détecter, investiguer et répondre efficacement aux menaces.

Le Machine Learning est un sous-ensemble de l'intelligence artificielle qui donne aux systèmes la capacité d'apprendre automatiquement et de s'améliorer à partir de l'expérience sans être explicitement programmés, largement utilisé en cybersécurité pour la détection des menaces.

Le Gartner® Magic Quadrant™ (MQ) est un outil de recherche visuel, adossé à une méthodologie propriétaire, qui positionne graphiquement les éditeurs de technologies et de services au sein d'un marché spécifique. Chaque éditeur est représenté sur un graphique à deux axes : la Capacité d'exécution (Ability to Execute) sur l'axe vertical et l'Exhaustivité de la vision (Completeness of Vision) sur l'axe horizontal. Ces deux axes délimitent quatre quadrants : Leaders, Challengers, Visionaries et Niche Players. Publié par Gartner, cabinet mondial de recherche et de conseil, le Magic Quadrant aide les acheteurs de technologies à évaluer rapidement les principaux éditeurs d'un marché, à la fois sur ce qu'ils peuvent fournir aujourd'hui et sur l'adéquation de leur stratégie avec l'évolution du marché. Il est largement utilisé dans les processus d'achat et d'évaluation des éditeurs, y compris dans les marchés de la cybersécurité comme le SIEM, la protection des endpoints ou la sécurité de la messagerie.

Mallox (également connu sous les noms TargetCompany, Fargo et Tohnichi) est un rançongiciel et une opération de Ransomware-as-a-Service (RaaS) ciblant les systèmes Microsoft Windows, actif depuis mi-2021. Il est surtout connu pour une méthode d'accès initial distinctive : plutôt que de s'appuyer principalement sur le phishing, les opérateurs de Mallox traquent les serveurs Microsoft SQL (MS-SQL) non sécurisés et exposés sur internet, et s'y introduisent par des attaques par force brute et par dictionnaire contre des identifiants de base de données faibles. Une fois à l'intérieur, ils déploient la charge utile Mallox, qui chiffre les fichiers (en ajoutant généralement l'extension .mallox) et suit le modèle de double extorsion : les données sont volées avant le chiffrement et leur publication sur un site de fuite Tor est menacée, à moins qu'une rançon ne soit payée. En opérant comme un RaaS avec des affiliés recrutés, Mallox a revendiqué des victimes dans de nombreux pays et secteurs, et reste une menace active en constante évolution.

Le Managed Detection and Response (MDR, ou détection et réponse managées) est un service de cybersécurité qui combine technologie et expertise humaine pour assurer la surveillance des menaces, leur détection, l'investigation et la réponse 24h/24, 7j/7 pour le compte d'une organisation. Plutôt que de se contenter de remonter des alertes, les analystes d'un prestataire MDR traquent activement les menaces, distinguent les vrais incidents des faux positifs, et guident ou réalisent le confinement sur les endpoints, les réseaux, le cloud et les identités. En pratique, le MDR donne à une organisation les résultats d'un SOC (Security Operations Center) mature sous la forme d'un service externalisé par abonnement. Le MDR est devenu l'un des moyens les plus courants pour les organisations de combler l'écart entre le volume d'alertes de sécurité qu'elles génèrent et l'expertise disponible en interne pour y répondre. Cette page explique ce qu'est le MDR, comment il fonctionne, ce qu'il comprend généralement, comment il se compare à des termes voisins comme l'EDR, l'XDR, l'MSSP et l'MXDR, et comment déterminer s'il correspond à votre organisation.

Un centre opérationnel de sécurité managé (SOC managé) est un Security Operations Center délivré sous forme de service par abonnement par un prestataire tiers, plutôt que construit et doté en interne. Le prestataire fournit les personnes, les processus et la technologie nécessaires pour surveiller l'environnement IT d'une organisation en continu, détecter les menaces et piloter la réponse aux incidents. Il est souvent commercialisé sous les appellations SOC as a Service (SOCaaS) ou SOC externalisé, et constitue fréquemment l'épine dorsale opérationnelle d'un engagement de détection et réponse managées (MDR). Pour la plupart des responsables de la sécurité, la vraie question n'est pas de savoir si un SOC est nécessaire, mais comment le doter en ressources. Construire une couverture continue en interne exige des analystes rares, des outils coûteux et un niveau de maturité opérationnelle qui prend des années à atteindre. Un SOC managé compresse ce délai. Cette page explique ce qu'il délivre, comment les modèles de délivrance diffèrent, comment il se compare aux services adjacents comme le MSSP et le MDR, et comment choisir un prestataire.

Microsoft Defender Antivirus (MDAV) est le composant antivirus intégré au système d'exploitation Windows, conçu pour protéger contre les virus, les malwares et d'autres menaces de sécurité.

Une menace persistante avancée (APT, pour Advanced Persistent Threat) est une cyberattaque prolongée et ciblée dans laquelle un intrus obtient un accès à un réseau et reste non détecté pendant une période étendue, avec pour objectif de dérober discrètement des données sensibles, de mener des opérations d'espionnage ou de saboter des systèmes critiques. Contrairement aux attaques opportunistes qui visent les cibles les plus faciles, une APT est soigneusement planifiée pour infiltrer une organisation spécifique, contourner ses défenses et rester cachée pendant des semaines, des mois, voire des années. Ces campagnes sont généralement menées par des équipes bien financées et hautement qualifiées, dont beaucoup sont soutenues par des États.

L'authentification multifacteur (MFA, de l'anglais Multi-Factor Authentication) est une méthode d'authentification qui exige qu'un utilisateur présente deux formes de preuve indépendantes ou plus avant d'accéder à un compte, une application ou un système. Plutôt que de s'appuyer sur un mot de passe seul, le MFA combine des facteurs de catégories différentes, de sorte que voler l'un d'eux, un mot de passe, ne suffit pas à donner les clés à un attaquant. C'est un élément fondamental de la gestion des identités et des accès (IAM) et l'un des contrôles les plus efficaces contre la prise de contrôle de compte. La logique est simple : un mot de passe peut être deviné, hameçonné ou réutilisé, mais un attaquant est bien moins susceptible de détenir également le téléphone ou l'empreinte digitale de l'utilisateur. Microsoft a rapporté que le MFA bloque la grande majorité des tentatives automatisées de compromission de compte. Cela dit, le MFA n'est pas une ligne d'arrivée. Les attaquants se sont adaptés, et l'écart entre un MFA faible et un MFA robuste compte aujourd'hui autant que le fait d'avoir activé le MFA ou non. Cette page couvre ce qu'est le MFA, les types de facteurs, les méthodes courantes, comment les attaquants contournent les formes les plus faibles, et pourquoi le MFA résistant au phishing est devenu le standard à viser.

Un fournisseur de services de sécurité managés (MSSP, de l'anglais Managed Security Service Provider) est une société tierce qui assure la surveillance, la détection et la gestion externalisées de la cybersécurité pour l'infrastructure IT, les réseaux, les systèmes et les applications d'une organisation, généralement sur la base d'un abonnement. Opérant depuis un ou plusieurs centres opérationnels de sécurité (SOC), un MSSP offre une visibilité en continu sur l'environnement du client, afin que les menaces soient détectées et traitées dès leur apparition. Les services principaux comprennent généralement la surveillance et les alertes de sécurité 24h/24 7j/7, la gestion des pare-feux et la détection et prévention des intrusions, la gestion du SIEM, la gestion des vulnérabilités et le support à la conformité. Les organisations font appel aux MSSP pour combler un écart qu'elles ne peuvent pas combler en interne : maintenir une surveillance continue et une expertise spécialisée en sécurité est coûteux et difficile à recruter, notamment face à une pénurie persistante de compétences en cybersécurité. En externalisant tout ou partie de leurs opérations de sécurité, les organisations bénéficient d'une protection de niveau entreprise sans devoir constituer et maintenir un SOC interne complet.

Le délai moyen de détection (MTTD, de l'anglais Mean Time to Detect) est une métrique des opérations de sécurité qui mesure le temps moyen entre le moment où une activité malveillante ou anormale commence dans un environnement et le moment où l'équipe de sécurité la détecte. C'est l'un des indicateurs clés de performance (KPI) les plus suivis dans un centre opérationnel de sécurité (SOC), car il quantifie la durée pendant laquelle une menace peut opérer sans être détectée : la fenêtre de présence de l'attaquant (dwell time). Un MTTD plus faible signifie que les menaces sont repérées plus rapidement, réduisant le temps dont dispose un adversaire pour élever ses privilèges, se déplacer latéralement ou exfiltrer des données. Un MTTD élevé signale des angles morts dans la visibilité, des détections bruyantes ou des analystes débordés. Le MTTD se lit presque toujours aux côtés de son pendant côté réponse, le délai moyen de réponse (MTTR, Mean Time to Respond). Bien que le concept soit né dans l'ingénierie de fiabilité IT, où il mesurait la rapidité avec laquelle les équipes remarquaient des pannes et des indisponibilités, le MTTD est devenu une métrique centrale de la sécurité. Cette page explique ce qu'il mesure, comment le calculer, pourquoi sa définition est plus complexe qu'il n'y paraît, sa relation avec le MTTR et les autres métriques temporelles d'un SOC, et les leviers pratiques pour le réduire.

Le temps moyen de réparation (MTTR, de l'anglais Mean Time to Repair) est un indicateur de performance clé qui mesure le temps moyen nécessaire pour réparer un système, un composant ou un service défaillant et le remettre en pleine opération. Il se calcule en divisant le temps total de réparation sur une période par le nombre de réparations effectuées durant cette même période. Il est utilisé en opérations IT, en sécurité et en maintenance pour évaluer l'efficacité des équipes à se remettre des pannes. Un MTTR plus bas signifie une reprise plus rapide, moins d'indisponibilité et une meilleure disponibilité. Le "R" de MTTR peut désigner la réparation (repair), le rétablissement (recovery), la réponse (respond) ou la résolution (resolve). L'étape la plus importante avant de le mesurer est donc de s'accorder sur lequel de ces sens on retient. Chacun mesure une tranche différente du cycle de vie d'un incident, et les confondre produit des chiffres qui paraissent précis mais conduisent aux mauvaises décisions. Cette page présente le temps moyen de réparation comme définition principale, explique la formule avec un exemple concret, distingue les quatre variantes du MTTR si souvent confondues, montre sa relation avec le MTBF et la disponibilité, et couvre les leviers pratiques pour le réduire, y compris dans un contexte de sécurité opérationnelle.

MuddyWater est un groupe de cyberespionnage parrainé par l'État iranien, évalué comme opérant au sein du ministère du Renseignement et de la Sécurité iranien (MOIS). Actif depuis au moins 2017, il mène des intrusions de collecte de renseignement contre des organisations gouvernementales et privées, principalement au Moyen-Orient mais aussi en Asie, en Afrique, en Europe et en Amérique du Nord. Il est suivi sous de nombreux noms, dont MERCURY, Seedworm, Static Kitten, Earth Vetala, TEMP.Zagros et, dans la nouvelle taxonomie de Microsoft, Mango Sandstorm. MITRE ATT&CK le répertorie sous l'identifiant G0069. MuddyWater est connu pour un style opérationnel pratique et adaptable : utilisation intensive de PowerShell, techniques de living off the land, et en particulier l'abus de logiciels légitimes de supervision et de gestion à distance (RMM) pour contrôler les systèmes compromis. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, comment ses outils ont évolué, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

La détection et réponse réseau (NDR, de l'anglais Network Detection and Response) est une technologie de cybersécurité qui surveille le trafic réseau pour détecter, investiguer et répondre aux menaces que les autres outils manquent. Plutôt que de comparer des signatures connues, elle applique l'analyse comportementale et le machine learning au trafic lui-même, repérant les schémas qu'une intrusion laisse derrière elle. Cette focalisation sur le comportement lui permet de détecter des menaces sans signature préalable, du mouvement latéral à l'intérieur du réseau aux canaux de commande et contrôle (C2) dissimulés dans le trafic chiffré. Gartner a officiellement défini la catégorie en 2020 et publié son premier Magic Quadrant pour le NDR en 2025. Le NDR trouve sa place parce que les attaquants qui passent au travers de l'endpoint et du périmètre doivent quand même utiliser le réseau, et chacun de leurs mouvements y laisse une trace. Cette page couvre ce qu'est le NDR, comment il fonctionne, le trafic qu'il observe, comment il se compare aux outils axés sur les endpoints et les logs, et où il s'inscrit dans un SOC (Security Operations Center) moderne.

La gestion des accès à privilèges (PAM) est une stratégie de cybersécurité, et l'ensemble des technologies qui la soutiennent, pour contrôler, surveiller et auditer l'accès aux systèmes les plus critiques d'une organisation par les utilisateurs à privilèges. Un utilisateur à privilèges est toute personne dont le compte peut modifier le fonctionnement des systèmes ou accéder à des données sensibles : administrateurs de systèmes et de réseaux, administrateurs de bases de données, administrateurs cloud, et de plus en plus les comptes de service et identités machine qui font tourner les processus automatisés. La PAM existe parce que ces comptes sont les cibles les plus précieuses dans un environnement. En compromettre un, c'est hériter de ses pouvoirs. La PAM fonctionne en n'accordant que l'accès nécessaire à une tâche spécifique, le temps que dure cette tâche, et en enregistrant ce qui se passe pendant les sessions à privilèges pour que les abus puissent être détectés et investigués. Cette page couvre ce que fait la PAM, comment ses composants s'articulent, en quoi elle diffère de la gestion des identités et des accès (IAM) et de l'authentification multifacteur (MFA), les pratiques qui la rendent efficace, et vers où évolue la discipline.

Un pare-feu est un dispositif de sécurité réseau ou un logiciel qui surveille et filtre le trafic réseau entrant et sortant, décidant de l'autoriser ou de le bloquer sur la base d'un ensemble défini de règles de sécurité. Il agit comme une barrière entre un réseau interne de confiance et des réseaux externes non approuvés comme internet, laissant passer le trafic légitime tout en gardant hors de portée les utilisateurs non autorisés et les données malveillantes. Les pare-feux peuvent être délivrés comme équipement physique, logiciel ou service cloud, et ils vont des simples filtres de paquets aux pare-feux de nouvelle génération (NGFW) avancés qui inspectent le trafic en profondeur et appliquent le renseignement sur les menaces en temps réel.

La norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS) est une norme de sécurité de l'information destinée aux organisations qui gèrent des données de cartes de crédit.

Pikabot est un malware de type backdoor apparu début 2023, dont le mode opératoire rappelle celui de QBot, et qui sert de point d'entrée pour déployer d'autres charges malveillantes sur les systèmes infectés.

PlugX est un cheval de Troie d'accès distant (RAT) modulaire qui donne à un attaquant un contrôle discret et durable sur un système Windows compromis. Actif depuis environ 2008, c'est l'un des outils les plus durables dans le cyberespionnage à nexus chinois, utilisé par de nombreux groupes différents. Il est surtout connu pour une conception basée sur des plugins qui permet aux opérateurs de ne charger que les capacités dont ils ont besoin, et pour l'utilisation du DLL side-loading, dans lequel un programme légitime est manipulé pour charger le malware, afin de s'installer et se dissimuler. PlugX est également suivi sous d'autres noms, notamment Korplug, SOGU et Kaba. En tant que RAT, PlugX est l'outil qu'un attaquant utilise après s'être introduit dans un système, pour maintenir l'accès, explorer un réseau et voler des données, plutôt que le moyen de la compromission initiale. Cette page explique ce qu'est PlugX, comment il fonctionne, ce qu'il peut faire, qui l'utilise, comment il a évolué, et comment les organisations le détectent et s'en défendent, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia, qui a effectué le sinkholing d'un botnet PlugX mondial.

Predator est un logiciel espion mobile commercial développé par Cytrox et commercialisé sous la bannière Intellexa, utilisé pour surveiller clandestinement des appareils iOS et Android. Vendu presque exclusivement à des clients gouvernementaux et de renseignement, Predator a été utilisé pour cibler des journalistes, des politiciens, des universitaires et des militants, et il est largement considéré comme l'un des outils de spyware mercenaire les plus sophistiqués, aux côtés de Pegasus du groupe NSO. Une fois installé, il peut enregistrer les appels et l'audio, lire les messages d'applications chiffrées et exfiltrer une large gamme de données personnelles. Il est parfois appelé "Predator malware" : les deux termes désignent le même produit Intellexa. Predator a été documenté de façon approfondie par les chercheurs du Threat Analysis Group de Google, de Citizen Lab, de Cisco Talos et d'Amnesty International, et il a fait l'objet de sanctions du gouvernement américain. Cette page explique ce qu'est Predator, qui le développe, comment il infecte les appareils, qui il a ciblé, la réponse réglementaire, et comment les utilisateurs et organisations à risque peuvent réduire leur exposition. Elle clarifie également un point de nomenclature important : le spyware Predator n'est pas la même chose que "Predator the Thief," un infostealer Windows sans lien.

Un proxy résidentiel (ou mandataire résidentiel) est un service intermédiaire qui achemine le trafic internet d'un utilisateur via une adresse IP attribuée par un fournisseur d'accès à internet (FAI) grand public à un appareil domestique réel. Parce que le trafic semble provenir d'une connexion domestique ordinaire plutôt que d'un datacenter, les proxies résidentiels sont très efficaces pour passer pour un utilisateur normal. Cette propriété les rend véritablement utiles pour des tâches légitimes comme la vérification de publicités ou la surveillance des prix, mais en fait aussi un outil privilégié par les attaquants souhaitant dissimuler l'automatisation, contourner les contrôles géographiques et de réputation, et fondre une activité malveillante dans le trafic quotidien. Cette nature à double usage explique précisément pourquoi les proxies résidentiels intéressent les équipes de sécurité et de lutte contre la fraude. Cette page explique ce que sont les proxies résidentiels, comment ils fonctionnent, comment leurs adresses IP sont obtenues et les questions de consentement que cela soulève, en quoi ils diffèrent des proxies de datacenter, des proxies mobiles et des VPN, pourquoi ils sont si difficiles à détecter, et comment les défenseurs peuvent les approcher.

La différence entre le XDR et le SIEM tient à leur approche : le SIEM collecte et corrèle les logs de l'environnement informatique principalement à des fins de surveillance et de conformité, tandis que le XDR intègre plusieurs produits de sécurité dans un système unifié axé sur la détection et la réponse aux menaces.

Le ransomware as a service (RaaS) est un modèle commercial de cybercriminalité dans lequel des développeurs de rançongiciels, appelés opérateurs, construisent et maintiennent des ransomwares et les louent à d'autres criminels, appelés affiliés, qui mènent les attaques effectives en échange d'une part des gains. C'est le miroir criminel du modèle légitime du software-as-a-service (SaaS) : au lieu que chaque attaquant écrive son propre malware, les opérateurs assurent le travail technique difficile, développer le rançongiciel, faire fonctionner l'infrastructure, héberger les portails de paiement et les sites de fuite, tandis que les affiliés se concentrent sur l'intrusion dans les cibles et le déploiement de la charge utile. Il en résulte une économie souterraine professionnalisée, avec abonnements, portails affiliés, tableaux de bord, avis utilisateurs et support 24h/24. En séparant le développement du déploiement, le RaaS abaisse considérablement la barrière technique à l'entrée, permettant à des personnes ayant peu ou pas de compétences en programmation de lancer des attaques de rançongiciel sophistiquées. Cette division du travail est l'une des principales raisons pour lesquelles les attaques par ransomware ont explosé en volume et en fréquence.

Le Radar Frost & Sullivan est un outil de veille concurrentielle qui positionne les fournisseurs selon deux dimensions, l'indice d'innovation et de croissance et l'indice d'empreinte industrielle, afin d'évaluer et comparer les entreprises d'un marché.

Le Ransom Distributed Denial of Service (RDDoS) est un type de cyberattaque dans lequel des criminels menaçent de mener une attaque par déni de service distribué, ou en lancent une, à moins qu'une rançon ne soit payée.

Les règles YARA sont des descriptions lisibles par l'humain, des signatures de correspondance de motifs, qui permettent aux analystes en sécurité d'identifier et de classer des logiciels malveillants (malware) à partir de motifs textuels ou binaires. YARA est lui-même un outil open source, souvent désigné comme « le couteau suisse de la correspondance de motifs pour les chercheurs en malware », et une règle YARA est une description unique rédigée dans son langage. Chaque règle associe un ensemble de motifs (chaînes de caractères, séquences d'octets hexadécimaux ou expressions régulières) à une condition booléenne qui détermine quand un fichier ou un processus correspond. La puissance de cette approche est qu'elle capture l'« ADN » durable d'une famille de malware, les fragments de code, les chaînes de configuration et les motifs structurels, plutôt qu'un simple hachage (hash) de fichier. Cela signifie qu'une règle bien écrite peut détecter de nombreuses variantes d'une menace, résistant aux mutations qui contournent la simple correspondance de hachage. YARA est largement utilisé par les chercheurs en malware, les chasseurs de menaces (threat hunters), les ingénieurs de détection et les équipes de réponse aux incidents dans les bacs à sable (sandboxes), les moteurs antivirus, les plateformes de cyber threat intelligence et les SIEM.

Roaming Mantis, également connu sous le nom de Shaoye, est un groupe cybercriminel qui cible principalement les appareils mobiles en recourant au détournement DNS pour rediriger les victimes vers des sites malveillants ou leur distribuer des malwares.

Un SaaS SIEM est une version du Security Information and Event Management hébergée dans le cloud et livrée en mode Software-as-a-Service, gérée par le fournisseur plutôt que déployée sur l'infrastructure de l'entreprise.

Scattered Spider est un groupe cybercriminel à motivation financière, actif depuis au moins 2022, qui s'est imposé comme l'un des acteurs de la menace les plus perturbateurs ciblant les entreprises occidentales. Sa réputation repose davantage sur l'ingénierie sociale que sur l'exploitation de failles techniques : ses opérateurs appellent les services d'assistance informatique d'entreprises, se font passer pour des employés et contournent mots de passe et authentification multifacteur (MFA) avant d'escalader vers le vol de données, l'extorsion et le déploiement de ransomware. Suivi sous de nombreux noms — UNC3944, Muddled Libra, Octo Tempest, 0ktapus, Scatter Swine et Star Fraud, entre autres — le groupe forme un réseau décentralisé de jeunes anglophones natifs opérant depuis les États-Unis, le Royaume-Uni et l'Europe, dans la mouvance d'une communauté en ligne plus large connue sous le nom de The Com. Parmi ses cibles les plus connues figurent MGM Resorts, Caesars Entertainment, Twilio, Transport for London et de grands distributeurs britanniques comme Marks & Spencer.

Le Security Information and Event Management (SIEM) est une solution de sécurité qui collecte, agrège et corrèle les données de journaux et d'événements de l'ensemble de l'infrastructure IT d'une organisation pour fournir une analyse en temps réel des alertes de sécurité. En centralisant les données provenant des serveurs, endpoints, applications, équipements réseau et services cloud dans une seule plateforme, un SIEM offre aux équipes de sécurité une vue unifiée de leur posture de sécurité pour détecter, investiguer et répondre aux menaces avant qu'elles ne perturbent l'activité. Il automatise également une grande partie du reporting nécessaire pour démontrer la conformité réglementaire.

Un Security Operations Center (SOC) est une équipe et une fonction centralisées chargées de surveiller en continu l'environnement IT d'une organisation pour détecter, analyser et répondre aux cybermenaces. Souvent prononcé « sock » et parfois appelé Information Security Operations Center (ISOC), un SOC réunit les personnes, les processus et la technologie utilisés pour défendre une organisation, fonctionnant en permanence afin que les menaces soient détectées et contenues rapidement, quelle que soit l'heure. Sa mission est double : gérer les incidents de sécurité en temps réel et améliorer continuellement la posture de sécurité de l'organisation sur le long terme.

Le Security Orchestration, Automation and Response (SOAR) est une solution logicielle qui permet aux équipes de sécurité d'intégrer et de coordonner des outils de sécurité distincts, d'automatiser les tâches répétitives et de rationaliser la réponse aux incidents et aux menaces via une plateforme unique. Plutôt que d'obliger les analystes à basculer manuellement entre des outils déconnectés, le SOAR les connecte dans des flux de travail reproductibles appelés playbooks, automatise les tâches de bas niveau et offre au Security Operations Center (SOC) un seul endroit pour gérer les alertes. Il en résulte une réponse plus rapide et plus cohérente, ainsi qu'un temps moyen de détection (MTTD) et un temps moyen de réponse (MTTR) réduits.

L'empoisonnement SEO (SEO poisoning), également appelé empoisonnement des moteurs de recherche, est une technique par laquelle des attaquants manipulent le classement des moteurs de recherche pour que des sites malveillants apparaissent en tête des résultats pour des termes de recherche populaires. Lorsque quelqu'un recherche une requête courante et clique sur un premier résultat, il atterrit sur un site conçu pour paraître légitime mais dont l'objectif est de délivrer des malwares ou de voler des informations. C'est une forme d'ingénierie sociale qui retourne contre l'utilisateur sa propre confiance dans les résultats de recherche, et c'est désormais un moyen courant pour les attaquants d'obtenir un premier point d'appui à l'intérieur d'une organisation. Ce qui rend l'empoisonnement SEO efficace, c'est que la cible vient d'elle-même. Contrairement à un email de phishing qui arrive sans être sollicité, un résultat de recherche empoisonné rencontre un utilisateur qui cherche activement et est enclin à faire confiance à ce qui se classe en tête. Cette page explique comment fonctionne l'empoisonnement SEO, les étapes d'une attaque typique, les malwares qu'il délivre, pourquoi il réussit, et comment les organisations le détectent et s'en défendent.

Le shadow IT désigne l'utilisation de logiciels, de matériels, de services cloud ou d'autres technologies au sein d'une organisation sans la connaissance ni l'approbation du service informatique. Il se manifeste généralement de deux façons : un employé adopte un outil non approuvé pour traiter des données professionnelles, ou utilise un outil approuvé de façon non autorisée, par exemple via un compte personnel. L'intention est rarement malveillante. Les personnes utilisent ce qui leur permet de faire leur travail. Mais comme la DSI n'a aucune visibilité sur ces outils, elle ne peut ni les sécuriser, ni les surveiller, ni les maintenir, et c'est dans cet angle mort que réside le risque. Le shadow IT a progressé avec le passage au cloud et au logiciel en tant que service (SaaS), où un nouvel outil est à portée d'une simple inscription, et il a encore accéléré avec l'IA générative. Cette page couvre ce qu'est le shadow IT, pourquoi il apparaît, les risques et les avantages réels, les exemples courants dont la catégorie en plein essor du shadow AI, et comment les organisations reprennent le contrôle.

Le SOC as a Service (SOCaaS) est un modèle par abonnement qui fournit les capacités d'un Security Operations Center (SOC) complet via le cloud, opéré par un prestataire tiers plutôt que par une équipe interne. Le prestataire fournit les personnes, les outils et les processus nécessaires à la surveillance des menaces, à la détection, à l'investigation et à la réponse en continu sur vos réseaux, endpoints, environnements cloud et applications. Vous bénéficiez de la protection d'un SOC pleinement opérationnel sans avoir à le construire, l'équiper ou le staffier vous-même.

Une Plateforme de Délivrance de Services de Sécurité (SSDP, pour Security Service Delivery Platform) est une infrastructure de cybersécurité intégrée qui permet aux MSSP et aux équipes de sécurité de livrer, gérer et orchestrer un large éventail de services de sécurité depuis un point central.

L'authentification unique (SSO, Single Sign-On) est une méthode d'authentification qui permet aux utilisateurs d'accéder de façon sécurisée à plusieurs applications et sites web avec un seul jeu d'identifiants. Au lieu de se connecter séparément à chaque application, l'utilisateur s'authentifie une seule fois auprès d'un fournisseur d'identité de confiance, qui accorde ensuite l'accès à tous les systèmes connectés pour la durée de la session. Le SSO supprime le besoin de mémoriser et de ressaisir un mot de passe différent pour chaque service, et il donne aux équipes IT un seul endroit centralisé pour gérer et sécuriser les accès. C'est un élément fondamental de la gestion des identités et des accès (IAM, Identity and Access Management), et il fonctionne mieux lorsqu'il est associé à l'authentification multifacteur (MFA, Multi-Factor Authentication).

STIX (Structured Threat Information Expression) est un langage ouvert et standardisé pour décrire le renseignement sur les cybermenaces (cyber threat intelligence, CTI) dans un format cohérent, structuré et lisible par les machines. Il fournit aux équipes de sécurité et aux systèmes un vocabulaire commun pour représenter les menaces — indicateurs, malwares, acteurs malveillants, schémas d'attaque et les relations entre eux — afin que le renseignement puisse être partagé, stocké et analysé de la même manière entre différentes organisations et différents outils. STIX définit le « quoi » du renseignement sur les menaces. Son protocole complémentaire, TAXII (Trusted Automated Exchange of Intelligence Information), définit le « comment » pour le transporter. Parce que STIX est lisible par les machines, les données de menaces exprimées dans ce format peuvent circuler automatiquement entre les SIEM, les plateformes SOAR, les solutions EDR, les plateformes de renseignement sur les menaces et les communautés de partage, sans reformatage manuel.

Les Tactiques, Techniques et Procédures (TTP) sont l'empreinte comportementale d'un acteur malveillant, et la façon structurée dont les équipes de sécurité décrivent la manière dont les adversaires planifient et exécutent des cyberattaques. Les tactiques sont les objectifs de haut niveau (le « pourquoi »), les techniques sont les méthodes utilisées pour les atteindre (le « comment »), et les procédures sont les implémentations spécifiques et étape par étape (le « comment exactement »). Contrairement aux indicateurs de compromission (IoC), qui décrivent les artefacts laissés par un attaquant, les TTP décrivent des comportements, ce qui en fait un renseignement bien plus durable pour détecter et attribuer les menaces.

TAXII (Trusted Automated Exchange of Intelligence Information) est un protocole ouvert de couche applicative permettant d'échanger du renseignement sur les cybermenaces (cyber threat intelligence, CTI) via HTTPS. Concrètement, TAXII fait office de transport : il définit une API RESTful et un ensemble d'exigences pour les clients et serveurs TAXII, afin que les organisations puissent envoyer, recevoir, demander et gérer des renseignements sur les menaces de manière automatisée et standardisée. TAXII est presque toujours mentionné aux côtés de STIX, mais les deux jouent des rôles distincts. STIX est le langage qui structure le renseignement (le « quoi ») ; TAXII est le protocole qui le transporte entre les systèmes (le « comment »). TAXII a été conçu spécifiquement pour transporter STIX, et la prise en charge de l'échange de contenu STIX 2.1 est obligatoire, mais il peut aussi transporter d'autres formats.

Les traffers sont des groupes clandestins qui distribuent des infostealers sur des ordinateurs compromis et sont rémunérés par commissions par les cybercriminels en échange des identifiants volés.

Turla est un groupe de cyberespionnage parrainé par l'État russe, attribué au Service fédéral de sécurité russe (FSB). Actif depuis au moins 2004, certaines évaluations le reliant à des intrusions remontant à la fin des années 1990, il a compromis des organisations dans plus de 50 pays et s'est concentré de façon constante sur les ministères des Affaires étrangères, les ambassades, les organisations de défense, les forces militaires, les institutions de recherche et les entreprises pharmaceutiques. Turla est l'un des groupes d'espionnage les plus anciens et les plus techniquement capables jamais documentés, connu pour développer ses propres malwares plutôt que de s'appuyer sur des outils génériques, et pour un savoir-faire que d'autres acteurs tentent rarement. Le groupe est suivi sous un long liste de noms, le plus souvent Snake, Uroburos, Waterbug et Venomous Bear, et MITRE ATT&CK le recense sous la référence G0010. Cette page couvre les alias et l'attribution de Turla, ses cibles, ses méthodes opérationnelles, ce qui rend son savoir-faire distinctif et comment les organisations s'en défendent, en s'appuyant en partie sur des recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

Tycoon 2FA est un kit de Phishing-as-a-Service conçu pour mener des attaques de type adversary-in-the-middle, capable de contourner l'authentification multifacteur, en particulier les mots de passe à usage unique basés sur le temps.

Vice Society est un groupe de rançongiciel pratiquant la double extorsion, qui chiffre et exfiltre les données de ses victimes en menaçant de les divulguer, et cible notamment les secteurs de l'éducation et de la santé.

Un réseau privé virtuel (VPN) est une technologie qui crée une connexion sécurisée et chiffrée sur un réseau moins sécurisé, généralement l'internet public. Il fonctionne en chiffrant le trafic d'un appareil et en le faisant transiter par un tunnel chiffré vers un serveur ou une passerelle VPN, ce qui masque la véritable adresse IP de l'utilisateur et rend les données illisibles pour quiconque les intercepte. Les organisations utilisent les VPN pour offrir aux employés distants un accès sécurisé aux ressources de l'entreprise et pour relier des sites entre eux via l'internet ; les particuliers y ont recours pour protéger leur vie privée sur les Wi-Fi publics et garder leur activité en ligne confidentielle. Le nom résume bien le concept. Virtuel, car aucune ligne physique dédiée n'est impliquée. Privé, car le chiffrement assure la confidentialité du trafic. Réseau, car l'appareil et le serveur VPN coopèrent pour maintenir la connexion.

Une vulnérabilité zero-day est une faille de sécurité dans un logiciel, un matériel ou un firmware, inconnue de l'éditeur ou de toute personne en mesure de la corriger. Aucun correctif n'existe. Le terme l'illustre parfaitement : les développeurs ont eu zéro jour pour remédier à la faille avant qu'elle ne puisse être exploitée. Comme il n'existe pas de correctif officiel et que les défenses traditionnelles basées sur les signatures n'ont rien à analyser, une vulnérabilité zero-day expose tous les utilisateurs du système concerné pendant la période comprise entre la première exploitation et la publication d'un correctif. Les professionnels de la sécurité appellent cela la fenêtre de vulnérabilité. Les vulnérabilités zero-day figurent parmi les menaces les plus dangereuses en matière de cybersécurité, prisées par les cybercriminels, les acteurs étatiques et les groupes APT (menaces persistantes avancées) précisément parce que les défenseurs ne peuvent pas se préparer à une faiblesse que personne ne connaît encore.

WebDAV (Web Distributed Authoring and Versioning) est une extension du protocole HTTP qui permet aux utilisateurs de lire et d'écrire des fichiers sur un serveur web distant, et pas seulement de les télécharger. HTTP standard traite un serveur web comme une source de contenu en lecture seule. WebDAV ajoute la possibilité de créer, modifier, déplacer, copier, supprimer et verrouiller des fichiers à distance, transformant ainsi un serveur web en espace de fichiers partagé accessible via la même connexion HTTP ou HTTPS qu'utilise un navigateur. Il est défini par la RFC 4918, qui a remplacé la RFC 2518 d'origine. WebDAV fait partie du web depuis des décennies et sous-tend des outils familiers, notamment les protocoles de calendrier et de contacts CalDAV et CardDAV, qui sont construits par-dessus. Cette page explique comment fonctionne WebDAV, à quoi il sert, comment il se compare à des alternatives comme FTP, et, parce que c'est un glossaire de sécurité, comment les attaquants ont appris à exploiter un protocole légitime pour délivrer des malwares.

Le XDR (Extended Detection and Response) est une technologie de sécurité unifiée qui collecte et corrèle automatiquement les données sur plusieurs couches, y compris les endpoints, les réseaux, les charges de travail cloud, les e-mails et les identités, dans une seule plateforme de détection et de réponse. Parfois appelé détection et réponse multi-couches, le XDR a évolué à partir de l'Endpoint Detection and Response (EDR) pour donner aux équipes de sécurité la visibilité, l'analyse et l'automatisation nécessaires pour détecter, investiguer et répondre aux menaces qui se déplacent dans un environnement, plutôt que d'analyser chaque couche en isolation. Il en résulte une détection plus rapide, moins de fatigue liée aux alertes et une posture de sécurité globale renforcée.

L'intégration du XDR avec les solutions existantes consiste à connecter une plateforme Extended Detection and Response aux outils de sécurité déjà en place dans l'entreprise, tels que les pare-feux, le SIEM et l'EDR, afin de renforcer la cybersécurité sans repartir de zéro.

L'architecture zéro confiance (ZTA, Zero Trust Architecture) est une architecture de cybersécurité fondée sur un principe unique : ne jamais faire confiance, toujours vérifier. Là où les modèles de sécurité traditionnels considèrent tout ce qui se trouve à l'intérieur du périmètre réseau comme digne de confiance, une architecture zéro confiance traite chaque utilisateur, appareil, application et connexion comme non fiable par défaut, qu'il se trouve à l'intérieur ou à l'extérieur du réseau d'entreprise. Chaque demande d'accès est authentifiée, autorisée et continuellement validée sur la base de l'identité, de l'état de santé de l'appareil et du contexte, et l'accès est accordé avec le niveau de privilège minimal nécessaire. L'objectif est de réduire la surface d'attaque, prévenir les déplacements latéraux et contenir les compromissions avant qu'elles ne se propagent dans un environnement distribué de services cloud, de télétravailleurs et d'appareils connectés.