Glossaire cybersécurité

L'authentification à deux facteurs (2FA) est une méthode d'authentification électronique qui ajoute une couche de sécurité supplémentaire aux comptes en ligne, en vérifiant l'identité de l'utilisateur à l'aide de deux éléments distincts.

L'analyse de malware (ou analyse de logiciels malveillants) est le processus qui consiste à examiner un logiciel malveillant pour comprendre son fonctionnement, ses actions et la façon de le détecter et de le neutraliser. En disséquant le code, la structure et le comportement d'un échantillon, les analystes déterminent son objectif, ses capacités et son impact potentiel, puis extraient les indicateurs de compromission (IoC) nécessaires pour le traquer et se défendre contre lui. Ce travail transforme un fichier suspect inconnu en données exploitables qui alimentent directement la réponse à incident, le renseignement sur les cybermenaces et l'ingénierie de détection. Trois grandes approches couvrent la majorité des scénarios : l'analyse statique (examen d'un fichier sans l'exécuter), l'analyse dynamique (exécution dans un bac à sable pour observer le comportement) et l'analyse hybride (combinaison des deux). Pour les échantillons les plus avancés, l'ingénierie inverse (reverse engineering) va encore plus loin.

Anonymous Sudan est un groupe hacktiviste apparu en janvier 2023, devenu connu pour une campagne soutenue d'attaques par déni de service distribué (DDoS) contre des organisations aux États-Unis, en Europe, au Moyen-Orient et au-delà. Le groupe s'est présenté comme des hacktivistes soudanais agissant en représailles à des actes perçus comme anti-musulmans, mais sa sélection de cibles s'est systématiquement alignée sur des intérêts pro-russes et anti-occidentaux, et il a opéré en étroite collaboration avec le groupe pro-russe Killnet. Microsoft suit le groupe sous le nom de Storm-1359. En octobre 2024, le Département de la Justice américain a dévoilé un acte d'accusation contre deux frères soudanais présumés être à la tête de l'opération, et a annoncé la saisie de ses outils d'attaque DDoS. Anonymous Sudan s'est distingué moins par sa nouveauté technique que par son ampleur, sa mise en scène, et le fait qu'il a vendu sa capacité d'attaque à des tiers sous forme de service DDoS à la demande. Cette page couvre les origines du groupe et son attribution contestée, ses méthodes opératoires, ses attaques notables, le démantèlement par les autorités en 2024, et comment les organisations se défendent contre ce type d'attaques.

APT27 est un groupe de cyberespionnage lié à la Chine, actif depuis au moins 2010, connu pour des intrusions de longue durée visant à dérober des informations auprès de cibles gouvernementales et industrielles dans le monde entier. Il est largement évalué comme parrainé par l'État chinois, et suivi sous un grand nombre de noms, les plus courants étant Emissary Panda, LuckyMouse et Iron Tiger. MITRE ATT&CK le répertorie sous l'identifiant G0027. Sur plus d'une décennie, le groupe a constitué un arsenal étendu et une réputation de pénétrer un réseau et d'y rester, parfois indétecté pendant des mois ou des années. APT27 est un acteur patient et orienté accès plutôt que rapide et brutal. Il s'introduit généralement via des applications web exposées sur Internet, établit un point d'appui discret, et travaille à étendre son accès et à collecter du renseignement sur le long terme. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, ses malwares et ses campagnes notables, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

APT28 (également connu sous le nom de Fancy Bear) est un acteur étatique russophone actif depuis au moins 2004. Attribué au GRU (renseignement militaire russe), le groupe est spécialisé dans le cyber espionnage, en ciblant des organisations gouvernementales, militaires et sécuritaires à travers le monde pour collecter des renseignements stratégiques et peser sur les dynamiques politiques.

APT29 est un groupe de cyberespionnage parrainé par l'État russe, attribué par les gouvernements américain, britannique et d'autres alliés au Service de renseignement extérieur russe (SVR). Actif depuis au moins 2008, c'est l'un des acteurs étatiques les plus capables et les plus persistants suivis par la communauté de la sécurité, défini par sa discrétion opérationnelle, ses longs temps de présence (dwell time) et son focus sur la collecte de renseignement plutôt que sur la perturbation ou la destruction. APT29 est également connu sous les noms de Cozy Bear, Midnight Blizzard (la désignation actuelle de Microsoft), Nobelium et The Dukes ; MITRE ATT&CK le suit sous la référence G0016. Il est surtout connu pour la compromission de la chaîne d'approvisionnement SolarWinds en 2020 et, plus récemment, pour avoir infiltré les systèmes d'entreprise de Microsoft. Contrairement aux acteurs plus bruyants, APT29 privilégie la sécurité opérationnelle et des accès difficiles à détecter, et s'est progressivement éloigné des intrusions lourdes en malwares pour adopter un savoir-faire centré sur le cloud et les identités. Cette page couvre l'attribution du groupe et ses alias, sa place dans l'écosystème des menaces russes, ses campagnes notables, ses méthodes opérationnelles actuelles et comment les organisations peuvent s'en défendre.

APT31 est un groupe de cyberespionnage parrainé par l'État chinois qui collecte du renseignement au service des intérêts de la République populaire de Chine (RPC). Actif depuis plus d'une décennie, il est surtout connu pour ses campagnes de hameçonnage ciblé contre des gouvernements, des personnalités politiques, des infrastructures critiques et des entreprises, ainsi que pour le vol de renseignements politiques et de secrets commerciaux. En mars 2024, les États-Unis et le Royaume-Uni ont formellement rattaché le groupe au ministère de la Sécurité d'État (MSS) chinois, sanctionnant une société écran et inculpant ou sanctionnant plusieurs individus. L'acteur est suivi sous plusieurs noms, le plus souvent Zirconium, Judgment Panda et Violet Typhoon, et MITRE ATT&CK le répertorie sous l'identifiant G0128. Le ciblage d'APT31 suit les priorités stratégiques de la RPC plutôt qu'un secteur unique, et ses méthodes reposent largement sur des services légitimes et des routeurs domestiques et de bureau compromis pour dissimuler son activité. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, ses campagnes notables et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

APT37 est un groupe de cyberespionnage parrainé par l'État nord-coréen, actif depuis au moins 2012. Il est surtout connu pour une collecte de renseignement discrète et de longue durée contre des cibles sud-coréennes, et il a régulièrement élargi son périmètre et affiné ses techniques opérationnelles au cours de la dernière décennie. Le groupe est suivi sous de nombreux noms, les plus courants étant Reaper et ScarCruft, et le framework MITRE ATT&CK le répertorie sous l'identifiant G0067. Son outil signature, un cheval de Troie d'accès à distance (RAT) appelé ROKRAT, et son habitude de dissimuler le trafic de commande et contrôle (C2) dans des services cloud ordinaires sont devenus des traits distinctifs. Comparé aux opérations nord-coréennes à motivation financière, APT37 est avant tout une unité de renseignement. Sa mission est de collecter des informations qui soutiennent les décisions politiques, militaires et économiques du régime, et son ciblage le reflète : les personnes et les institutions qui façonnent ou étudient la politique vis-à-vis de la Corée du Nord. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, ses campagnes notables, et comment les organisations se défendent contre un acteur conçu pour un accès discret et persistant.

L'open XDR est une approche de la détection et réponse étendues (XDR), indépendante des éditeurs, qui unifie la détection des menaces, l'investigation et la réponse à incident sur l'ensemble du système d'information d'une organisation, sans l'obliger à standardiser ses outils autour d'un seul éditeur. Également appelé hybrid XDR, il agit comme une couche d'analyse et d'orchestration posée sur les meilleures solutions existantes du marché : détection et réponse sur les terminaux (EDR), détection réseau (NDR), cloud, identité, messagerie, SIEM, SOAR. La plateforme ingère leur télémétrie via des API ouvertes et des connecteurs, la normalise dans un modèle de données commun, la corrèle grâce à l'IA et au renseignement sur les cybermenaces pour faire remonter des incidents à haute fidélité, et déclenche des actions de réponse automatisées dans les outils sources. La distinction fondamentale est avec le native XDR, également appelé closed XDR : une plateforme tout-en-un proposée par un seul éditeur. La promesse centrale de l'open XDR est d'assurer une détection et réponse unifiées tout en préservant les investissements de sécurité existants, et en évitant la dépendance vis-à-vis d'un éditeur unique.

AridViper est un ensemble d'intrusion de cyberespionnage actif depuis au moins 2012, largement évalué comme étant associé au Hamas, l'organisation politico-militaire palestinienne. Il mène des opérations de surveillance et de collecte de renseignement contre des cibles en Israël et au Moyen-Orient, ainsi que contre des personnes et organisations palestiniennes. Sa caractéristique principale est de cibler les personnes plutôt que les infrastructures. Au lieu de chercher une faille dans un réseau, le groupe crée de faux personas sur les réseaux sociaux, échange avec ses cibles et les persuade d'installer elles-mêmes un spyware sur leur téléphone ou leur ordinateur. Il est également suivi sous les noms APT-C-23, Desert Falcon et MoleRATs, entre autres désignations. Deux éléments rendent AridViper important au-delà de sa zone géographique. C'est l'un des acteurs d'espionnage les plus durablement orientés vers les appareils mobiles, avec une longue expérience des spywares Android et iOS, alors que de nombreuses organisations surveillent encore moins bien les appareils mobiles que les ordinateurs portables. Son ciblage se déploie aussi dans deux directions, vers l'extérieur contre des adversaires géopolitiques et vers l'intérieur contre l'opposition politique. Cette particularité détermine les personnes réellement exposées. Cette page présente les noms d'AridViper, son attribution, ses cibles, son mode opératoire et les moyens de défense, en s'appuyant sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

Une attaque Command and Control (C2) est une technique par laquelle un attaquant établit un canal de communication covert entre un appareil compromis et un serveur qu'il opère, appelé serveur C2 (également écrit C&C), afin d'émettre des instructions à distance et de recevoir des données dérobées. Une fois ce canal actif, l'adversaire peut télécharger des malware supplémentaires, se déplacer latéralement dans le réseau, exfiltrer des données sensibles ou enrôler la machine dans un botnet. Le command and control s'inscrit parmi les dernières étapes de la Cyber Kill Chain, ce qui signifie que lorsque le C2 est établi, les premières défenses ont déjà été contournées. C'est pourquoi une détection rapide du C2 est déterminante pour les équipes de sécurité.

BlackCat, également connu sous les noms ALPHV et Noberus, était une opération de Ransomware-as-a-Service (RaaS) active de fin 2021 au début de 2024. L'opération n'est plus en activité. Les autorités américaines ont perturbé son infrastructure en décembre 2023, puis les opérateurs ont fermé le service en mars 2024 après avoir conservé le paiement d'une rançon due à l'un de leurs propres affiliés et mis en scène une fausse saisie par les forces de l'ordre. Pendant sa période d'activité, BlackCat figurait parmi les opérations de ransomware les plus destructrices. Ses affiliés volaient les données avant de chiffrer les systèmes, ciblaient les environnements Windows et Linux et atteignaient les hôtes de virtualisation. L'opération comptait également parmi les premières grandes familles de ransomware écrites en Rust, un choix qui facilitait le développement multiplateforme. BlackCat reste pertinent parce que les marques de ransomware sont des arrangements temporaires. Les personnes qui opéraient et utilisaient le service n'ont pas disparu avec la marque. Les affiliés ont rejoint d'autres opérations en emportant leurs méthodes d'accès et leurs techniques. Comprendre BlackCat permet donc d'étudier comment les opérations de ransomware se forment, changent d'échelle, disparaissent et transmettent leurs capacités à la marque suivante.

Bluenoroff est un acteur de la cybermenace à nexus nord-coréen dont la mission consiste à générer des revenus pour l'État nord-coréen. Contrairement aux groupes d'espionnage qui volent des informations, Bluenoroff vole des fonds. Il le fait depuis des années à grande échelle, d'abord contre les banques et les systèmes de messagerie financière dont elles dépendent, puis, depuis environ 2017, avec un intérêt marqué pour les plateformes d'échange de cryptomonnaies, les entreprises de la blockchain et du Web3, et l'écosystème de capital-risque qui les entoure. Il est généralement décrit comme un cluster au sein de l'ensemble plus large des opérations nord-coréennes souvent regroupées sous le nom Lazarus Group. Il est également suivi sous le nom de Gleaming Pisces, entre autres désignations. Cette distinction compte pour les défenseurs. Un groupe chargé de générer des revenus se comporte différemment d'un groupe chargé de collecter du renseignement. Il se dirige vers les fonds accessibles, cible les personnes capables de déplacer de l'argent aussi directement que les institutions qui le détiennent, et poursuit ses opérations parce que sa mission ne disparaît pas. Cette page présente les noms de Bluenoroff, sa relation avec Lazarus Group, son attribution, ses cibles, son mode opératoire et les moyens de défense, en s'appuyant sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

Les bonnes pratiques SOC désignent les processus rigoureux, les habitudes d'amélioration continue et la culture de vigilance qu'un Security Operations Center (SOC) efficace doit adopter pour renforcer la posture de cybersécurité d'une organisation.

Le ransomware Cactus est une opération de double extorsion active depuis mars 2023, qui cible de grandes organisations. Ses opérateurs s'introduisent dans un réseau, volent des données, puis chiffrent les systèmes. L'organisation affectée doit alors faire face à une interruption d'activité et à la menace de publication des données volées. Cactus est une opération de big game hunting, et non une menace de masse. Ses opérateurs obtiennent généralement un accès en exploitant des vulnérabilités sur des équipements exposés sur internet, notamment des dispositifs en périphérie du réseau et des logiciels métier accessibles depuis internet. Les identifiants volés et l'ingénierie sociale, y compris l'usurpation d'un service interne via les outils de discussion professionnels, constituent également des voies d'accès signalées. La caractéristique technique la plus distinctive de l'opération est l'auto-chiffrement. La charge utile du ransomware arrive sous une forme chiffrée et nécessite une clé fournie au moment de l'exécution pour se décompresser. Un outil de sécurité qui inspecte le fichier peut donc ne trouver aucun code de ransomware reconnaissable. Cette protection concerne le fichier, pas le comportement qui suit. Une fois lancé, Cactus doit toujours désactiver les outils de sécurité, se déplacer dans l'environnement, voler des données et modifier des fichiers à grande échelle.

Calisto est un groupe de cyberespionnage parrainé par l'État russe, actif depuis au moins 2017, surtout connu pour son harponnage (spearphishing) patient et très ciblé visant à voler les identifiants de personnes qui comptent pour le renseignement russe. En décembre 2023, une déclaration conjointe des États-Unis, du Royaume-Uni, du Canada, de l'Australie et de la Nouvelle-Zélande a attribué le groupe au Service fédéral de sécurité (FSB) russe, spécifiquement à son Centre 18. L'acteur est suivi sous plusieurs noms, les plus courants étant Calisto (également orthographié Callisto), Star Blizzard et COLDRIVER. Contrairement aux groupes qui s'appuient sur des malwares élaborés, les techniques opérationnelles de Calisto reposent sur l'ingénierie sociale et le vol d'identité. Il étudie ses cibles, se fait passer pour des contacts de confiance et les attire vers des pages de collecte d'identifiants, puis utilise les accès volés pour collecter du renseignement ou faire fuiter des documents au service d'opérations d'influence russes. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

Le callback phishing (ou hameçonnage par rappel) est une attaque d'ingénierie sociale dans laquelle un leurre, généralement un e-mail, pousse la victime à appeler un numéro de téléphone plutôt que de cliquer sur un lien ou d'ouvrir une pièce jointe. Quand la victime appelle, un attaquant se faisant passer pour un agent d'assistance d'une marque de confiance utilise une conversation scriptée pour soutirer des identifiants ou des mots de passe à usage unique (OTP), obtenir un paiement, ou convaincre la victime d'installer un logiciel d'accès à distance. Parce que l'e-mail ne contient aucun lien malveillant ni pièce jointe, seulement un numéro de téléphone, il contourne les filtres e-mail basés sur le contenu. C'est précisément ce qui rend la technique efficace. Le callback phishing est également connu sous le nom de Telephone-Oriented Attack Delivery (TOAD) et, sous sa forme originale, de BazarCall. Ce qui distingue le callback phishing du phishing ordinaire est le renversement de l'initiative : c'est la victime qui passe l'appel, si bien que l'interaction paraît volontaire et que sa méfiance est abaissée. Des groupes de rançongiciels l'ont adopté comme technique d'accès initial fiable, et il couvre désormais aussi bien les attaques en entreprise que la fraude aux particuliers. Cette page explique son fonctionnement, ses origines, les marques et outils exploités par les attaquants, ses différences avec le vishing et le smishing, et comment les organisations peuvent le détecter et s'en défendre.

Un Computer Emergency Response Team (CERT) est un groupe spécialisé d'experts en cybersécurité chargé de protéger, détecter et répondre aux cyber incidents au sein d'une organisation ou d'un pays. Ces équipes apportent l'expertise technique et la coordination nécessaires pour faire face aux menaces telles que les violations de données, les ransomware et les vulnérabilités systèmes.

ClearFake est un framework JavaScript malveillant utilisé pour distribuer des malwares via des sites web compromis. Il fonctionne en injectant du code dans des sites légitimes, le plus souvent des sites WordPress compromis, puis en trompant les visiteurs pour qu'ils installent un malware via une fausse invite, à l'origine une fausse mise à jour de navigateur et, plus récemment, une fausse vérification CAPTCHA. Apparu pour la première fois en juillet 2023, il appartient à la catégorie plus large des menaces de type "fausses mises à jour" et est devenu l'un des frameworks de distribution de malwares web les plus actifs, évoluant rapidement et adoptant des techniques comme le stockage de ses charges sur la blockchain. Le nom ClearFake vient du fait que le JavaScript injecté était écrit en clair, sans obfuscation, dans les premières versions, ce qui était inhabituel pour ce type de malware. Cette page explique ce qu'est ClearFake, comment sa chaîne d'infection fonctionne, comment ses leurres et sa distribution ont évolué, quels malwares il livre, et comment les organisations le détectent et s'en défendent, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia, qui a analysé la menace dès son émergence.

Constituer une équipe SOC efficace consiste à définir des rôles clairs, des responsabilités et des flux de communication afin que les opérations de détection et de réponse se déroulent de manière fluide, un Security Operations Center ne valant que par les personnes qui le composent.

La compromission des e-mails professionnels (Business Email Compromise, BEC), connue en France sous les termes de fraude au président ou FOVI (Faux Ordre de Virement Informatique), est une forme de fraude ciblée par ingénierie sociale dans laquelle un attaquant usurpe l'identité d'une personne de confiance, comme un dirigeant, un collègue ou un fournisseur, pour pousser un employé à effectuer un virement ou à divulguer des données sensibles. Contrairement au phishing de masse, le BEC est très personnalisé et ne contient généralement ni malware, ni lien malveillant, ni pièce jointe. C'est précisément ce qui le rend si difficile à détecter pour la sécurité e-mail traditionnelle. Il est également connu sous le nom de compromission de compte e-mail (EAC), et le FBI le décrit comme l'une des cybercrimalités en ligne les plus coûteuses qu'il suive. Parce que le BEC exploite des processus commerciaux normaux, une demande urgente du "PDG" ou des coordonnées bancaires "mises à jour" d'un fournisseur, plutôt qu'une vulnérabilité technique, il réussit contre des organisations de toutes tailles et maturités. Cette page explique ce qu'est le BEC, comment une attaque se déroule, les principaux types reconnus par le FBI, pourquoi il est si difficile à détecter, son ampleur réelle et comment les organisations peuvent le prévenir et y répondre.

Construire un Security Operations Center est un investissement stratégique qui nécessite une planification soigneuse couvrant les personnes, les processus et la technologie, avec des points de décision clés qui déterminent si le SOC apportera de la valeur sur le long terme.

Les crypters (« криптер » en russe) sont des logiciels qui chiffrent, obfusquent et manipulent un malware pour lui permettre de contourner les détections de sécurité tout en conservant ses fonctionnalités malveillantes intactes. Un crypter prend une charge utile malveillante connue — comme un infostealer, un cheval de Troie d'accès distant (RAT) ou un ransomware — l'enveloppe dans une couche qui paraît inoffensive aux antivirus et autres outils d'analyse, puis déchiffre et exécute le malware original au moment de l'exécution. Le crypter lui-même n'est pas du code malveillant ; c'est un outil. Mais entre de mauvaises mains, son rôle est de dissimuler un malware et d'en faciliter la livraison, ce qui en fait un composant fondamental de la chaîne d'approvisionnement de la cybercriminalité moderne. L'objectif ultime est d'atteindre le statut FUD, acronyme de Fully UnDetectable (totalement indétectable) : le malware empaqueté échappe à tous les éditeurs de sécurité.

Un CSIRT (Computer Security Incident Response Team, ou équipe de réponse aux incidents de sécurité informatique) est une équipe opérationnelle de sécurité chargée de répondre aux incidents de cybersécurité au sein d'une organisation. Quand un incident est signalé, le CSIRT l'analyse et mène les actions nécessaires pour le contenir et le résoudre. Entre les incidents, il joue un rôle préventif grâce à une surveillance continue des menaces. La même fonction est désignée par plusieurs termes proches : CIRT (Computer Incident Response Team) et, plus généralement, équipe de réponse aux incidents font référence à la même idée, un groupe dédié chargé de gérer les incidents de sécurité de la détection à la remédiation. Un CSIRT existe pour qu'en cas de problème, qu'il s'agisse d'une violation de données, d'une infection par malware ou d'une prise de contrôle de compte, l'organisation dispose d'une équipe préparée avec des rôles clairs plutôt que d'improviser sous pression. Cette page explique ce que fait un CSIRT, les rôles qu'il réunit, les trois types courants, la relation du terme avec CERT et SOC, et comment les organisations en créent un ou travaillent avec un prestataire externe.

CustomerLoader est un loader .NET dont le rôle est de livrer d'autres malwares. Il s'installe sur une machine Windows, se décompresse et exécute une charge utile supplémentaire en mémoire. Des rapports l'ont associé à des dizaines de familles de malwares, notamment des voleurs d'informations, des chevaux de Troie d'accès à distance et des ransomwares, selon le client criminel qui l'utilise. CustomerLoader a été identifié et nommé par l'équipe Threat Detection & Research (TDR) de Sekoia en juillet 2023. Les analystes ont observé à plusieurs reprises la chaîne 'customer' dans les communications de commandement et contrôle et s'en sont servis pour nommer le malware. Cette origine compte, car l'analyse de Sekoia constitue la première description publique de CustomerLoader, et une grande partie de la couverture ultérieure s'en inspire directement ou indirectement. Une détection de CustomerLoader indique qu'un autre malware a peut-être été livré. Le loader ne réalise pas lui-même le vol, la surveillance ou le chiffrement final. L'investigation doit surtout identifier la charge utile qui a suivi.

La cybersécurité consiste à protéger les systèmes, les réseaux, les applications et les données contre les attaques, les accès non autorisés et les interruptions. Elle combine des technologies, des processus et des personnes : des outils qui préviennent et détectent les activités malveillantes, des procédures qui définissent la réponse de l'organisation lorsqu'un incident survient et le jugement des personnes qui utilisent ces outils et appliquent ces procédures. Son objectif n'est pas de supprimer tout risque, ce qui est impossible, mais de le réduire à un niveau que l'organisation peut accepter et de pouvoir reprendre son activité lorsque la prévention échoue. Le terme couvre un domaine très vaste, de la sécurisation d'un ordinateur portable à la défense d'infrastructures nationales. C'est pourquoi les définitions restent souvent abstraites. Cette page propose un point de départ concret : elle présente les domaines couverts par la cybersécurité, les menaces auxquelles elle répond, la manière dont les organisations la mettent en pratique, pourquoi la prévention ne suffit plus et comment la réglementation européenne définit désormais certaines obligations. Chaque domaine peut ensuite être approfondi dans les autres pages de ce glossaire.

La Cyber Threat Intelligence (CTI) est la recherche, l'analyse et la modélisation des cybermenaces qui transforment des données brutes sur les attaquants en renseignement contextualisé et actionnable. Elle décrit une menace ou une attaque à travers des indicateurs et un contexte compréhensibles à la fois par des personnes et des machines, afin que les équipes de sécurité puissent anticiper, détecter et répondre aux attaques plutôt que de simplement y réagir. La CTI répond à trois questions fondamentales : qui est susceptible de vous attaquer, comment ces acteurs opèrent et ce que vous pouvez faire avant qu'ils ne réussissent.

DarkGate est un loader doté de capacités de cheval de Troie d'accès distant (RAT), écrit en Delphi avec des modules en C++, et vendu aux cybercriminels sous forme de malware-as-a-service (MaaS). Son rôle est de s'installer sur une machine, d'y rester et d'en donner le contrôle à son opérateur. Il peut télécharger et exécuter d'autres charges, ouvrir un shell distant, enregistrer les frappes clavier, voler des credentials et fournir un accès distant dissimulé au bureau. Observé pour la première fois en 2018, alors que son développeur affirme avoir commencé à le développer en 2017, DarkGate a gagné en visibilité au second semestre 2023. Il reste utilisé et activement développé. MITRE ATT&CK le répertorie sous l'identifiant S1111. Ce qui compte pour les défenseurs n'est pas une capacité isolée. DarkGate combine un large éventail de fonctions, un important travail d'évasion des logiciels antivirus et un modèle locatif qui met le tout à la disposition de ceux qui paient. Une infection DarkGate marque rarement la fin d'une intrusion. Elle en constitue généralement le début. Cette page explique comment DarkGate est vendu, comment il atteint une machine, ce qu'il peut faire, comment il se dissimule, qui l'utilise et comment les organisations le détectent, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

DDoSia est une boîte à outils d'attaque par déni de service distribué, développée et utilisée par le groupe hacktiviste pro-russe NoName057(16) contre les pays critiques de l'invasion russe de l'Ukraine.

Un système de détection des intrusions (IDS, Intrusion Detection System) est un outil de sécurité réseau qui surveille le trafic réseau et l'activité des systèmes à la recherche d'activités malveillantes connues, de comportements suspects ou de violations de politiques de sécurité, et déclenche une alerte lorsqu'il détecte quelque chose. Pensez-y comme à une sentinelle : il observe, reconnaît les signes d'une attaque et notifie les équipes de sécurité ou un outil centralisé comme un Security Information and Event Management (SIEM) afin qu'elles puissent investiguer. De façon fondamentale, un IDS est un système passif en écoute seule. Il détecte et signale, mais ne bloque pas les menaces de lui-même. C'est le rôle d'un système de prévention des intrusions (IPS, Intrusion Prevention System), ce qui explique pourquoi les deux sont si souvent déployés ensemble.

XDR, EDR et MDR sont trois approches de détection et de réponse souvent comparées : l'EDR se concentre sur les endpoints, le XDR étend la détection à plusieurs couches au sein d'une plateforme unifiée, et le MDR est un service managé combinant technologie et expertise humaine.

La prévention de la perte de données (DLP, Data Loss Prevention) est un ensemble de stratégies, de processus et de technologies conçus pour empêcher les informations sensibles d'être accédées, mal utilisées ou transmises hors d'une organisation sans autorisation. Une solution DLP identifie et classe les données confidentielles comme les dossiers clients, les informations financières et la propriété intellectuelle, surveille la façon dont ces données sont accédées, utilisées et partagées sur les endpoints, les réseaux et les services cloud, et applique des politiques qui bloquent ou signalent les actions risquées. L'objectif est de prévenir à la fois les fuites accidentelles, comme un employé qui envoie un fichier au mauvais destinataire, et le vol délibéré de données, qu'il soit le fait d'un attaquant externe ou d'un initié malveillant, tout en soutenant la conformité avec des réglementations telles que le Règlement Général sur la Protection des Données (RGPD), la Health Insurance Portability and Accountability Act (HIPAA) et la Payment Card Industry Data Security Standard (PCI DSS).

Doenerium est un voleur d'informations (information stealer ou infostealer) qui collecte les identifiants et les données personnelles d'une machine Windows compromise avant de les envoyer à son opérateur. Il récupère les mots de passe des navigateurs, les cookies, les données d'auto-complétion et l'historique de navigation, les données de portefeuilles de cryptomonnaie, des captures d'écran et de nombreuses informations sur les comptes Discord. Les termes Doenerium malware, Doenerium infostealer et Doenerium stealer désignent tous la même menace. Ce qui le rend particulièrement accessible est son mode de distribution : le malware a été publié sur un dépôt de code public, si bien que n'importe qui peut l'obtenir et le modifier sans payer d'abonnement ni négocier un accès. Doenerium circule principalement dans les communautés de joueurs, via de faux téléchargements de jeux et des messages sur des plateformes de discussion. Cette audience peut donner l'impression que Doenerium concerne uniquement les particuliers. Il représente aussi un risque pour les entreprises. Les utilisateurs réemploient des mots de passe entre leurs comptes personnels et professionnels, accèdent à des applications d'entreprise depuis des appareils personnels et restent connectés à des services cloud. Un mot de passe volé ou un cookie de session encore valide peut transformer une infection sur une machine personnelle en point d'entrée vers une intrusion plus large.

L'Endpoint Detection and Response (EDR) est une technologie de cybersécurité qui surveille en continu les appareils endpoint tels que les ordinateurs portables, les postes de travail, les serveurs et les appareils mobiles, afin de détecter, d'investiguer et de répondre aux cybermenaces avancées, aux comportements malveillants et aux attaques de malware sans fichier qui contournent les logiciels antivirus traditionnels.

Une plateforme de protection des terminaux (EPP, de l'anglais Endpoint Protection Platform) est une suite intégrée de technologies de sécurité des terminaux fonctionnant ensemble sur un appareil, comme un ordinateur portable, un poste de travail, un serveur ou un appareil mobile, pour détecter et prévenir les menaces. Déployée via un agent léger et gérée de manière croissante depuis le cloud, une EPP combine des capacités telles que l'antivirus de nouvelle génération (NGAV), un pare-feu personnel, le chiffrement des données, la prévention des fuites de données (DLP) et le contrôle des appareils en une solution gérée unifiée. Son objectif principal est la prévention : bloquer les menaces connues et inconnues comme les malwares classiques et sans fichier (fileless), les rançongiciels (ransomware) et les scripts malveillants avant qu'ils ne s'exécutent sur le terminal. En ce sens, l'EPP est l'évolution moderne de l'antivirus traditionnel, allant au-delà de la simple correspondance de signatures pour intégrer l'analyse comportementale, l'apprentissage automatique et le renseignement sur les menaces. Elle constitue la couche de sécurité préventive fondamentale des terminaux, et dans la plupart des déploiements modernes, elle est associée à un outil de détection et réponse aux incidents sur les terminaux (EDR) pour les menaces qui passent à travers.

Les outils de protection des endpoints (EPT) sont des solutions de sécurité conçues pour protéger les terminaux d'une organisation contre les cybermenaces, regroupant notamment antivirus, pare-feux et systèmes de prévention d'intrusion.

FakeBat est un loader qui était loué à d'autres cybercriminels sous forme de service par abonnement. Il est également suivi sous les noms EugenLoader, PaykLoader et NUMOZYLOD. Un loader a une fonction précise : s'installer sur une machine et y livrer le malware qui réalisera le vol, la surveillance, la fraude ou le déploiement d'un ransomware. FakeBat figurait parmi les loaders les plus distribués au début de 2024. Ses opérateurs vendaient un accès via un panneau d'administration, des modèles de build qui donnaient au loader l'apparence d'un logiciel légitime et un service de distribution optionnel chargé des landing pages et de la livraison pour le compte des clients. Ses campagnes les plus efficaces utilisaient des publicités dans les moteurs de recherche, le SEO poisoning, de fausses mises à jour de navigateurs et des pages de téléchargement imitant des applications professionnelles populaires. L'activité de FakeBat est devenue intermittente après son pic de 2024. Aucune arrestation ni perturbation par les forces de l'ordre de l'opérateur n'a publiquement établi que le service avait pris fin. La formulation exacte est donc que la marque a perdu de son importance, plutôt que d'affirmer qu'elle a été démantelée. Le playbook plus large des faux installateurs reste actif, tandis que de nouvelles méthodes d'ingénierie sociale comme ClickFix ont pris une place plus importante dans l'accès initial. L'équipe Threat Detection & Research (TDR) de Sekoia a publié les recherches de référence sur FakeBat en juillet 2024. L'analyse documentait l'activité des opérateurs sur les forums, le modèle d'administration, les clusters de distribution et l'infrastructure de commandement et contrôle. Cette page explique ce qu'était FakeBat, comment le service fonctionnait, ce qu'il distribuait et pourquoi son modèle de livraison reste pertinent au-delà de son nom.

La fatigue des alertes, également appelée fatigue des alarmes ou fatigue des notifications, est l'état dans lequel se trouvent les analystes de sécurité lorsqu'ils font face à un si grand nombre d'alertes qu'ils se désensibilisent et commencent à les manquer, les ignorer ou les sous-investiguer, y compris celles qui comptent. Dans un centre des opérations de sécurité (SOC), des outils comme un système de gestion des informations et des événements de sécurité (SIEM), une détection et réponse sur les endpoints (EDR) et des dizaines d'autres peuvent générer des dizaines de milliers d'alertes par jour, dont une large part sont des faux positifs. Lorsque tout est signalé comme urgent, plus rien ne l'est, et une véritable intrusion peut passer inaperçue dans le bruit. La fatigue des alertes est à la fois un problème opérationnel et un problème humain. Sur le plan opérationnel, elle ralentit la détection et la réponse et laisse de véritables menaces sans examen. Sur le plan humain, le triage sans fin d'alertes à faible valeur entraîne l'épuisement et le turnover des analystes, ce qui aggrave encore le problème. Cette page explique ce qu'est la fatigue des alertes, ce qui la cause, les dommages qu'elle provoque, et les mesures pratiques par lesquelles les équipes SOC la réduisent.

Le framework MITRE ATT&CK est une base de connaissances mondiale, librement accessible et continuellement mise à jour, sur les tactiques, techniques et procédures (TTP) réelles des adversaires, fondée sur des observations de la façon dont les attaquants se comportent réellement lors d'intrusions. ATT&CK signifie Adversarial Tactics, Techniques, and Common Knowledge. Créé et maintenu par MITRE, une organisation à but non lucratif américaine, le framework catalogue ce que font les attaquants à chaque étape du cycle de vie d'une attaque et donne aux défenseurs un langage commun pour décrire, détecter et répondre aux menaces. Plutôt que de traquer des indicateurs facilement modifiables comme les adresses IP ou les hachages de fichiers, ATT&CK se concentre sur des comportements durables, ce qui en fait un pilier de la détection moderne des menaces, du threat hunting et des opérations de sécurité.

HATVIBE est un loader personnalisé construit autour de VBScript et de fichiers d'application HTML, utilisé dans des campagnes de cyberespionnage contre des organisations gouvernementales, diplomatiques et de recherche. Identifié pour la première fois en 2023, il ne constitue pas la charge qui mène l'opération à son terme. Il s'agit de la première étape : HATVIBE établit un point d'appui sur une machine compromise, envoie des informations de base à ses opérateurs et télécharge ce qu'ils souhaitent exécuter ensuite, le plus souvent un backdoor basé sur Python suivi sous le nom de CHERRYSPY. HATVIBE est associé à un cluster d'espionnage suivi sous les désignations UAC-0063 et TAG-110, évalué comme étant aligné sur la Russie. Les cibles signalées se trouvent principalement en Asie centrale et en Ukraine, avec une activité qui s'étend jusqu'en Europe. Cette page explique ce que fait HATVIBE, qui l'utilise et quel niveau de confiance accorder à cette attribution, ainsi que les mesures concrètes que les défenseurs peuvent prendre.

L'intelligence artificielle (IA) en cybersécurité désigne l'utilisation de techniques d'IA — principalement l'apprentissage automatique (machine learning), l'apprentissage profond (deep learning) et l'IA générative — pour renforcer la capacité des organisations à détecter, prévenir, analyser et répondre aux cybermenaces. Plutôt que de s'appuyer uniquement sur des règles statiques et des signatures connues, l'IA analyse de vastes volumes de données (trafic réseau, activité des terminaux, journaux, comportements des utilisateurs, renseignement sur les menaces) pour reconnaître des motifs, signaler des anomalies et anticiper les risques émergents à une vitesse et une échelle qu'aucune équipe humaine ne peut atteindre seule. Le domaine comporte deux volets complémentaires : l'IA pour la sécurité (utilisation de l'IA pour défendre l'organisation) et la sécurité de l'IA (protection des systèmes d'IA eux-mêmes contre des attaques comme l'injection de prompt ou l'empoisonnement de modèles). L'IA devient de plus en plus le modèle opérationnel de la sécurité moderne, alimentant des agents autonomes capables de trier, d'investiguer et de contenir les menaces de bout en bout.

L'intelligence artificielle générative crée de nouveaux contenus, notamment du texte, du code, des images, de l'audio et de la vidéo, en apprenant les schémas présents dans des données existantes. En cybersécurité, elle agit des deux côtés de la lutte. Les attaquants l'utilisent pour produire des messages de phishing convaincants, des voix et visages synthétiques, ainsi que du code fonctionnel à une vitesse et avec un niveau de qualité qui exigeaient auparavant davantage de compétences et de temps. Les défenseurs l'utilisent pour réduire le travail analytique qui remplit les journées des équipes de sécurité, de la synthèse d'un incident à la traduction d'une question en requête. L'IA générative est souvent présentée comme si elle couvrait toute l'intelligence artificielle utilisée en sécurité. Ce n'est pas le cas. Les équipes de sécurité utilisent le machine learning depuis des années pour classer et détecter les menaces. La différence fondamentale est que l'IA générative crée de nouveaux contenus. Cette page explique cette distinction, la façon dont les attaquants et les défenseurs utilisent l'IA générative, les risques de sécurité qu'elle introduit et comment l'adopter sans créer de nouvelles expositions.

La gestion des identités et des accès (IAM, de l'anglais Identity and Access Management) est le cadre de politiques, de processus et de technologies qui garantit que les bonnes identités disposent des bons accès aux bonnes ressources au bon moment. Elle recouvre deux fonctions liées : confirmer qu'un utilisateur, un appareil ou un service est bien ce qu'il prétend être, et ne lui accorder que le niveau d'accès auquel cette identité a droit. Une identité n'est pas uniquement une personne. Il peut s'agir d'un employé, d'un prestataire, d'un client, d'une application, d'une machine ou, de plus en plus, d'un agent IA, chacun ayant besoin d'un accès contrôlé qui lui est propre. L'IAM est important pour deux raisons qui vont dans le même sens : la sécurité et la productivité. Il réduit les possibilités pour un attaquant de détourner des identifiants, et permet aux utilisateurs d'accéder aux outils dont ils ont besoin sans friction. Parce que les identités compromises sont à l'origine de nombreuses compromissions, l'IAM est devenu un fondement de la sécurité moderne plutôt qu'une fonction IT administrative. Cette page explique ce qu'est l'IAM, comment il fonctionne, ses composants fondamentaux, les standards qui le sous-tendent, et comment il s'articule avec des disciplines voisines comme la gestion des accès à privilèges et le Zero Trust.

Un indicateur de compromission (IoC) est une preuve forensique, un artefact observable sur un réseau ou un système, qui indique avec une forte probabilité qu'une violation de sécurité s'est produite ou est en cours. Les IoC courants comprennent les hachages de fichiers de malwares connus, les adresses IP et domaines malveillants, l'infrastructure de commande et contrôle (C2), les clés de registre suspectes et les schémas de connexion ou de trafic anormaux. Considérez les IoC comme les empreintes numériques laissées par un attaquant. Les équipes de sécurité les utilisent de deux manières : de façon réactive, pour enquêter sur un incident suspecté, retracer le parcours d'un attaquant et évaluer les dommages ; et de façon proactive, en alimentant les outils de détection avec des IoC connus afin qu'une alerte se déclenche automatiquement si le même artefact réapparaît. Ce second usage est ce qui rend les flux de renseignement sur les menaces et le partage d'IoC si précieux. Les IoC sont un élément fondamental du renseignement sur les cybermenaces (cyber threat intelligence, CTI), de l'ingénierie de détection et de la réponse aux incidents.

Un ISAC (Information Sharing and Analysis Center, soit centre d'analyse et de partage d'information) est une organisation à but non lucratif, pilotée par ses membres, qui sert de hub central de confiance pour collecter, analyser et partager les informations sur les cybermenaces et les menaces physiques au sein d'un secteur d'infrastructure critique spécifique : finance, santé, énergie, transport, entre autres. Les ISAC permettent un partage bidirectionnel entre le secteur privé et les pouvoirs publics : ils collectent des données sur les menaces auprès de leurs membres et de sources comme la CISA, les enrichissent et les analysent, puis diffusent du renseignement exploitable en retour via des canaux sécurisés. Le principe directeur est celui de la défense collective : une menace identifiée par une organisation peut protéger l'ensemble d'un secteur. Apparus aux États-Unis en 1999 à la suite de la Presidential Decision Directive 63 (PDD-63), les ISAC opèrent aujourd'hui dans des dizaines de secteurs et gagnent du terrain à l'international.

Kinsing est une famille de malwares écrite en langage Go qui cible principalement les serveurs Linux ainsi que les environnements cloud et de conteneurs pour miner des cryptomonnaies. Elle tire son nom du binaire déposé sur les systèmes infectés et est également connue sous le nom de H2Miner. Analysée pour la première fois début 2020, elle se comporte comme un ver informatique, se propageant de manière autonome en scannant et en compromettant des systèmes exposés ou mal configurés, et elle reste active et en constante évolution aujourd'hui. Parce que son objectif principal est de détourner la puissance de traitement d'un serveur pour miner des cryptomonnaies, elle constitue une forme de cryptojacking. Le nom Kinsing désigne à la fois le malware lui-même et l'activité à motivation financière qui le déploie. Cette page explique ce qu'est Kinsing, comment il infecte les systèmes et ce qu'il fait une fois à l'intérieur, ce qu'il cible, comment il a évolué, et comment les organisations le détectent et s'en défendent.

Un SOC moderne s'appuie sur un ensemble d'outils essentiels, dont le SIEM, l'EDR, le XDR, le SOAR et le NDR, qui fonctionnent ensemble pour détecter, investiguer et répondre efficacement aux menaces.

Le machine learning, ou apprentissage automatique, est une branche de l'intelligence artificielle dans laquelle un système apprend son comportement à partir de données plutôt que de règles écrites par une personne. Un modèle reçoit de nombreux exemples, identifie lui-même les caractéristiques qui les distinguent, puis peut évaluer des données qu'il n'a jamais vues. En cybersécurité, cette capacité est intégrée à de nombreux outils : elle classe les fichiers comme malveillants ou légitimes, filtre les e-mails de hameçonnage, établit une référence du comportement normal d'un utilisateur ou d'un appareil, regroupe les événements liés en un seul incident et aide à déterminer les alertes qu'un analyste doit examiner en priorité. Le machine learning est aussi l'un des concepts les plus survendus du secteur. Ces deux faits sont liés. Il résout réellement certains problèmes de sécurité, apporte une aide partielle pour d'autres et est régulièrement présenté comme capable de faire des choses qu'il ne sait pas faire. Un responsable de la sécurité qui évalue un produit, ou un analyste qui doit décider du poids à accorder à la sortie d'un modèle au milieu de la nuit, doit savoir faire la différence. Cette page explique comment fonctionne le machine learning, dans quels domaines il est réellement utile en sécurité, là où les promesses dépassent ses capacités et quelles limites comptent une fois le modèle mis en production.

Le Gartner® Magic Quadrant™ (MQ) est un outil de recherche visuel, adossé à une méthodologie propriétaire, qui positionne graphiquement les éditeurs de technologies et de services au sein d'un marché spécifique. Chaque éditeur est représenté sur un graphique à deux axes : la Capacité d'exécution (Ability to Execute) sur l'axe vertical et l'Exhaustivité de la vision (Completeness of Vision) sur l'axe horizontal. Ces deux axes délimitent quatre quadrants : Leaders, Challengers, Visionaries et Niche Players. Publié par Gartner, cabinet mondial de recherche et de conseil, le Magic Quadrant aide les acheteurs de technologies à évaluer rapidement les principaux éditeurs d'un marché, à la fois sur ce qu'ils peuvent fournir aujourd'hui et sur l'adéquation de leur stratégie avec l'évolution du marché. Il est largement utilisé dans les processus d'achat et d'évaluation des éditeurs, y compris dans les marchés de la cybersécurité comme le SIEM, la protection des endpoints ou la sécurité de la messagerie.

Mallox (également connu sous les noms TargetCompany, Fargo et Tohnichi) est un rançongiciel et une opération de Ransomware-as-a-Service (RaaS) ciblant les systèmes Microsoft Windows, actif depuis mi-2021. Il est surtout connu pour une méthode d'accès initial distinctive : plutôt que de s'appuyer principalement sur le phishing, les opérateurs de Mallox traquent les serveurs Microsoft SQL (MS-SQL) non sécurisés et exposés sur internet, et s'y introduisent par des attaques par force brute et par dictionnaire contre des identifiants de base de données faibles. Une fois à l'intérieur, ils déploient la charge utile Mallox, qui chiffre les fichiers (en ajoutant généralement l'extension .mallox) et suit le modèle de double extorsion : les données sont volées avant le chiffrement et leur publication sur un site de fuite Tor est menacée, à moins qu'une rançon ne soit payée. En opérant comme un RaaS avec des affiliés recrutés, Mallox a revendiqué des victimes dans de nombreux pays et secteurs, et reste une menace active en constante évolution.

Le Managed Detection and Response (MDR, ou détection et réponse managées) est un service de cybersécurité qui combine technologie et expertise humaine pour assurer la surveillance des menaces, leur détection, l'investigation et la réponse 24h/24, 7j/7 pour le compte d'une organisation. Plutôt que de se contenter de remonter des alertes, les analystes d'un prestataire MDR traquent activement les menaces, distinguent les vrais incidents des faux positifs, et guident ou réalisent le confinement sur les endpoints, les réseaux, le cloud et les identités. En pratique, le MDR donne à une organisation les résultats d'un SOC (Security Operations Center) mature sous la forme d'un service externalisé par abonnement. Le MDR est devenu l'un des moyens les plus courants pour les organisations de combler l'écart entre le volume d'alertes de sécurité qu'elles génèrent et l'expertise disponible en interne pour y répondre. Cette page explique ce qu'est le MDR, comment il fonctionne, ce qu'il comprend généralement, comment il se compare à des termes voisins comme l'EDR, l'XDR, l'MSSP et l'MXDR, et comment déterminer s'il correspond à votre organisation.

Un centre opérationnel de sécurité managé (SOC managé) est un Security Operations Center délivré sous forme de service par abonnement par un prestataire tiers, plutôt que construit et doté en interne. Le prestataire fournit les personnes, les processus et la technologie nécessaires pour surveiller l'environnement IT d'une organisation en continu, détecter les menaces et piloter la réponse aux incidents. Il est souvent commercialisé sous les appellations SOC as a Service (SOCaaS) ou SOC externalisé, et constitue fréquemment l'épine dorsale opérationnelle d'un engagement de détection et réponse managées (MDR). Pour la plupart des responsables de la sécurité, la vraie question n'est pas de savoir si un SOC est nécessaire, mais comment le doter en ressources. Construire une couverture continue en interne exige des analystes rares, des outils coûteux et un niveau de maturité opérationnelle qui prend des années à atteindre. Un SOC managé compresse ce délai. Cette page explique ce qu'il délivre, comment les modèles de délivrance diffèrent, comment il se compare aux services adjacents comme le MSSP et le MDR, et comment choisir un prestataire.

Microsoft Defender Antivirus (MDAV) est le composant antivirus intégré à Windows. Il est fourni avec le système d'exploitation, fonctionne sans licence distincte et couvre les besoins fondamentaux d'un poste pour bloquer et mettre en quarantaine les menaces connues : détection basée sur les signatures, analyse comportementale et protection fournie par le cloud. Sur la plupart des parcs Windows, il est déjà présent et actif. Il constitue donc la réalité de base sur une grande partie des machines qu'une équipe de sécurité doit défendre. Pour un centre des opérations de sécurité (SOC), la question utile n'est pas de savoir si MDAV est « bon ». Il est capable de faire ce pour quoi il a été conçu. La vraie question porte sur la télémétrie qu'il fournit, ses angles morts et la manière de construire une détection qui reste efficace lorsqu'un attaquant essaie de le désactiver. C'est l'approche adoptée par cette page, fondée sur les travaux de détection de l'équipe Threat Detection & Research (TDR) de Sekoia autour de MDAV, et non sur une simple présentation de fonctionnalités.

Une menace persistante avancée (APT, pour Advanced Persistent Threat) est une cyberattaque prolongée et ciblée dans laquelle un intrus obtient un accès à un réseau et reste non détecté pendant une période étendue, avec pour objectif de dérober discrètement des données sensibles, de mener des opérations d'espionnage ou de saboter des systèmes critiques. Contrairement aux attaques opportunistes qui visent les cibles les plus faciles, une APT est soigneusement planifiée pour infiltrer une organisation spécifique, contourner ses défenses et rester cachée pendant des semaines, des mois, voire des années. Ces campagnes sont généralement menées par des équipes bien financées et hautement qualifiées, dont beaucoup sont soutenues par des États.

L'authentification multifacteur (MFA, de l'anglais Multi-Factor Authentication) est une méthode d'authentification qui exige qu'un utilisateur présente deux formes de preuve indépendantes ou plus avant d'accéder à un compte, une application ou un système. Plutôt que de s'appuyer sur un mot de passe seul, le MFA combine des facteurs de catégories différentes, de sorte que voler l'un d'eux, un mot de passe, ne suffit pas à donner les clés à un attaquant. C'est un élément fondamental de la gestion des identités et des accès (IAM) et l'un des contrôles les plus efficaces contre la prise de contrôle de compte. La logique est simple : un mot de passe peut être deviné, hameçonné ou réutilisé, mais un attaquant est bien moins susceptible de détenir également le téléphone ou l'empreinte digitale de l'utilisateur. Microsoft a rapporté que le MFA bloque la grande majorité des tentatives automatisées de compromission de compte. Cela dit, le MFA n'est pas une ligne d'arrivée. Les attaquants se sont adaptés, et l'écart entre un MFA faible et un MFA robuste compte aujourd'hui autant que le fait d'avoir activé le MFA ou non. Cette page couvre ce qu'est le MFA, les types de facteurs, les méthodes courantes, comment les attaquants contournent les formes les plus faibles, et pourquoi le MFA résistant au phishing est devenu le standard à viser.

Un fournisseur de services de sécurité managés (MSSP, de l'anglais Managed Security Service Provider) est une société tierce qui assure la surveillance, la détection et la gestion externalisées de la cybersécurité pour l'infrastructure IT, les réseaux, les systèmes et les applications d'une organisation, généralement sur la base d'un abonnement. Opérant depuis un ou plusieurs centres opérationnels de sécurité (SOC), un MSSP offre une visibilité en continu sur l'environnement du client, afin que les menaces soient détectées et traitées dès leur apparition. Les services principaux comprennent généralement la surveillance et les alertes de sécurité 24h/24 7j/7, la gestion des pare-feux et la détection et prévention des intrusions, la gestion du SIEM, la gestion des vulnérabilités et le support à la conformité. Les organisations font appel aux MSSP pour combler un écart qu'elles ne peuvent pas combler en interne : maintenir une surveillance continue et une expertise spécialisée en sécurité est coûteux et difficile à recruter, notamment face à une pénurie persistante de compétences en cybersécurité. En externalisant tout ou partie de leurs opérations de sécurité, les organisations bénéficient d'une protection de niveau entreprise sans devoir constituer et maintenir un SOC interne complet.

Le délai moyen de détection (MTTD, de l'anglais Mean Time to Detect) est une métrique des opérations de sécurité qui mesure le temps moyen entre le moment où une activité malveillante ou anormale commence dans un environnement et le moment où l'équipe de sécurité la détecte. C'est l'un des indicateurs clés de performance (KPI) les plus suivis dans un centre opérationnel de sécurité (SOC), car il quantifie la durée pendant laquelle une menace peut opérer sans être détectée : la fenêtre de présence de l'attaquant (dwell time). Un MTTD plus faible signifie que les menaces sont repérées plus rapidement, réduisant le temps dont dispose un adversaire pour élever ses privilèges, se déplacer latéralement ou exfiltrer des données. Un MTTD élevé signale des angles morts dans la visibilité, des détections bruyantes ou des analystes débordés. Le MTTD se lit presque toujours aux côtés de son pendant côté réponse, le délai moyen de réponse (MTTR, Mean Time to Respond). Bien que le concept soit né dans l'ingénierie de fiabilité IT, où il mesurait la rapidité avec laquelle les équipes remarquaient des pannes et des indisponibilités, le MTTD est devenu une métrique centrale de la sécurité. Cette page explique ce qu'il mesure, comment le calculer, pourquoi sa définition est plus complexe qu'il n'y paraît, sa relation avec le MTTR et les autres métriques temporelles d'un SOC, et les leviers pratiques pour le réduire.

Le temps moyen de réparation (MTTR, de l'anglais Mean Time to Repair) est un indicateur de performance clé qui mesure le temps moyen nécessaire pour réparer un système, un composant ou un service défaillant et le remettre en pleine opération. Il se calcule en divisant le temps total de réparation sur une période par le nombre de réparations effectuées durant cette même période. Il est utilisé en opérations IT, en sécurité et en maintenance pour évaluer l'efficacité des équipes à se remettre des pannes. Un MTTR plus bas signifie une reprise plus rapide, moins d'indisponibilité et une meilleure disponibilité. Le "R" de MTTR peut désigner la réparation (repair), le rétablissement (recovery), la réponse (respond) ou la résolution (resolve). L'étape la plus importante avant de le mesurer est donc de s'accorder sur lequel de ces sens on retient. Chacun mesure une tranche différente du cycle de vie d'un incident, et les confondre produit des chiffres qui paraissent précis mais conduisent aux mauvaises décisions. Cette page présente le temps moyen de réparation comme définition principale, explique la formule avec un exemple concret, distingue les quatre variantes du MTTR si souvent confondues, montre sa relation avec le MTBF et la disponibilité, et couvre les leviers pratiques pour le réduire, y compris dans un contexte de sécurité opérationnelle.

MuddyWater est un groupe de cyberespionnage parrainé par l'État iranien, évalué comme opérant au sein du ministère du Renseignement et de la Sécurité iranien (MOIS). Actif depuis au moins 2017, il mène des intrusions de collecte de renseignement contre des organisations gouvernementales et privées, principalement au Moyen-Orient mais aussi en Asie, en Afrique, en Europe et en Amérique du Nord. Il est suivi sous de nombreux noms, dont MERCURY, Seedworm, Static Kitten, Earth Vetala, TEMP.Zagros et, dans la nouvelle taxonomie de Microsoft, Mango Sandstorm. MITRE ATT&CK le répertorie sous l'identifiant G0069. MuddyWater est connu pour un style opérationnel pratique et adaptable : utilisation intensive de PowerShell, techniques de living off the land, et en particulier l'abus de logiciels légitimes de supervision et de gestion à distance (RMM) pour contrôler les systèmes compromis. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, comment ses outils ont évolué, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

La détection et réponse réseau (NDR, de l'anglais Network Detection and Response) est une technologie de cybersécurité qui surveille le trafic réseau pour détecter, investiguer et répondre aux menaces que les autres outils manquent. Plutôt que de comparer des signatures connues, elle applique l'analyse comportementale et le machine learning au trafic lui-même, repérant les schémas qu'une intrusion laisse derrière elle. Cette focalisation sur le comportement lui permet de détecter des menaces sans signature préalable, du mouvement latéral à l'intérieur du réseau aux canaux de commande et contrôle (C2) dissimulés dans le trafic chiffré. Gartner a officiellement défini la catégorie en 2020 et publié son premier Magic Quadrant pour le NDR en 2025. Le NDR trouve sa place parce que les attaquants qui passent au travers de l'endpoint et du périmètre doivent quand même utiliser le réseau, et chacun de leurs mouvements y laisse une trace. Cette page couvre ce qu'est le NDR, comment il fonctionne, le trafic qu'il observe, comment il se compare aux outils axés sur les endpoints et les logs, et où il s'inscrit dans un SOC (Security Operations Center) moderne.

La gestion des accès à privilèges (PAM) est une stratégie de cybersécurité, et l'ensemble des technologies qui la soutiennent, pour contrôler, surveiller et auditer l'accès aux systèmes les plus critiques d'une organisation par les utilisateurs à privilèges. Un utilisateur à privilèges est toute personne dont le compte peut modifier le fonctionnement des systèmes ou accéder à des données sensibles : administrateurs de systèmes et de réseaux, administrateurs de bases de données, administrateurs cloud, et de plus en plus les comptes de service et identités machine qui font tourner les processus automatisés. La PAM existe parce que ces comptes sont les cibles les plus précieuses dans un environnement. En compromettre un, c'est hériter de ses pouvoirs. La PAM fonctionne en n'accordant que l'accès nécessaire à une tâche spécifique, le temps que dure cette tâche, et en enregistrant ce qui se passe pendant les sessions à privilèges pour que les abus puissent être détectés et investigués. Cette page couvre ce que fait la PAM, comment ses composants s'articulent, en quoi elle diffère de la gestion des identités et des accès (IAM) et de l'authentification multifacteur (MFA), les pratiques qui la rendent efficace, et vers où évolue la discipline.

Un pare-feu est un dispositif de sécurité réseau ou un logiciel qui surveille et filtre le trafic réseau entrant et sortant, décidant de l'autoriser ou de le bloquer sur la base d'un ensemble défini de règles de sécurité. Il agit comme une barrière entre un réseau interne de confiance et des réseaux externes non approuvés comme internet, laissant passer le trafic légitime tout en gardant hors de portée les utilisateurs non autorisés et les données malveillantes. Les pare-feux peuvent être délivrés comme équipement physique, logiciel ou service cloud, et ils vont des simples filtres de paquets aux pare-feux de nouvelle génération (NGFW) avancés qui inspectent le trafic en profondeur et appliquent le renseignement sur les menaces en temps réel.

La norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS) est une norme de sécurité de l'information destinée aux organisations qui gèrent des données de cartes de crédit.

Pikabot était un loader observé pour la première fois en février 2023. Les courtiers d'accès initial l'utilisaient pour s'implanter dans les réseaux d'entreprise et télécharger la suite de l'attaque, le plus souvent des frameworks de post-exploitation comme Cobalt Strike et Meterpreter. Les compromissions réussies par Pikabot étaient régulièrement associées au déploiement du ransomware Black Basta. Pikabot a occupé la place laissée par Qakbot après le démantèlement de ce botnet par les forces de l'ordre en août 2023. L'un des principaux distributeurs de Qakbot a adopté Pikabot à partir de septembre 2023 et l'a intégré à des campagnes de phishing à grande échelle. Le code de Pikabot ne provenait pas de Qakbot. La relation était commerciale et opérationnelle, et non une filiation technique directe. Pikabot n'est plus actif. Entre le 27 et le 29 mai 2024, l'opération internationale Operation Endgame a perturbé l'infrastructure de plusieurs loaders majeurs, dont Pikabot. L'équipe Threat Detection & Research (TDR) de Sekoia a soutenu les forces de l'ordre françaises avec du renseignement sur les cybermenaces concernant Pikabot dans le cadre de cette opération. Contrairement à plusieurs autres familles ciblées au même moment, Pikabot n'est pas réapparu. Pikabot constitue un cas d'étude utile sur la façon dont un loader peut progresser rapidement après un démantèlement majeur, puis disparaître lorsque son infrastructure et sa base d'utilisateurs concentrée sont supprimées.

PlugX est un cheval de Troie d'accès distant (RAT) modulaire qui donne à un attaquant un contrôle discret et durable sur un système Windows compromis. Actif depuis environ 2008, c'est l'un des outils les plus durables dans le cyberespionnage à nexus chinois, utilisé par de nombreux groupes différents. Il est surtout connu pour une conception basée sur des plugins qui permet aux opérateurs de ne charger que les capacités dont ils ont besoin, et pour l'utilisation du DLL side-loading, dans lequel un programme légitime est manipulé pour charger le malware, afin de s'installer et se dissimuler. PlugX est également suivi sous d'autres noms, notamment Korplug, SOGU et Kaba. En tant que RAT, PlugX est l'outil qu'un attaquant utilise après s'être introduit dans un système, pour maintenir l'accès, explorer un réseau et voler des données, plutôt que le moyen de la compromission initiale. Cette page explique ce qu'est PlugX, comment il fonctionne, ce qu'il peut faire, qui l'utilise, comment il a évolué, et comment les organisations le détectent et s'en défendent, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia, qui a effectué le sinkholing d'un botnet PlugX mondial.

Predator est un logiciel espion mobile commercial développé par Cytrox et commercialisé sous la bannière Intellexa, utilisé pour surveiller clandestinement des appareils iOS et Android. Vendu presque exclusivement à des clients gouvernementaux et de renseignement, Predator a été utilisé pour cibler des journalistes, des politiciens, des universitaires et des militants, et il est largement considéré comme l'un des outils de spyware mercenaire les plus sophistiqués, aux côtés de Pegasus du groupe NSO. Une fois installé, il peut enregistrer les appels et l'audio, lire les messages d'applications chiffrées et exfiltrer une large gamme de données personnelles. Il est parfois appelé "Predator malware" : les deux termes désignent le même produit Intellexa. Predator a été documenté de façon approfondie par les chercheurs du Threat Analysis Group de Google, de Citizen Lab, de Cisco Talos et d'Amnesty International, et il a fait l'objet de sanctions du gouvernement américain. Cette page explique ce qu'est Predator, qui le développe, comment il infecte les appareils, qui il a ciblé, la réponse réglementaire, et comment les utilisateurs et organisations à risque peuvent réduire leur exposition. Elle clarifie également un point de nomenclature important : le spyware Predator n'est pas la même chose que "Predator the Thief," un infostealer Windows sans lien.

Un proxy résidentiel (ou mandataire résidentiel) est un service intermédiaire qui achemine le trafic internet d'un utilisateur via une adresse IP attribuée par un fournisseur d'accès à internet (FAI) grand public à un appareil domestique réel. Parce que le trafic semble provenir d'une connexion domestique ordinaire plutôt que d'un datacenter, les proxies résidentiels sont très efficaces pour passer pour un utilisateur normal. Cette propriété les rend véritablement utiles pour des tâches légitimes comme la vérification de publicités ou la surveillance des prix, mais en fait aussi un outil privilégié par les attaquants souhaitant dissimuler l'automatisation, contourner les contrôles géographiques et de réputation, et fondre une activité malveillante dans le trafic quotidien. Cette nature à double usage explique précisément pourquoi les proxies résidentiels intéressent les équipes de sécurité et de lutte contre la fraude. Cette page explique ce que sont les proxies résidentiels, comment ils fonctionnent, comment leurs adresses IP sont obtenues et les questions de consentement que cela soulève, en quoi ils diffèrent des proxies de datacenter, des proxies mobiles et des VPN, pourquoi ils sont si difficiles à détecter, et comment les défenseurs peuvent les approcher.

La différence entre le XDR et le SIEM tient à leur approche : le SIEM collecte et corrèle les logs de l'environnement informatique principalement à des fins de surveillance et de conformité, tandis que le XDR intègre plusieurs produits de sécurité dans un système unifié axé sur la détection et la réponse aux menaces.

Le ransomware as a service (RaaS) est un modèle commercial de cybercriminalité dans lequel des développeurs de rançongiciels, appelés opérateurs, construisent et maintiennent des ransomwares et les louent à d'autres criminels, appelés affiliés, qui mènent les attaques effectives en échange d'une part des gains. C'est le miroir criminel du modèle légitime du software-as-a-service (SaaS) : au lieu que chaque attaquant écrive son propre malware, les opérateurs assurent le travail technique difficile, développer le rançongiciel, faire fonctionner l'infrastructure, héberger les portails de paiement et les sites de fuite, tandis que les affiliés se concentrent sur l'intrusion dans les cibles et le déploiement de la charge utile. Il en résulte une économie souterraine professionnalisée, avec abonnements, portails affiliés, tableaux de bord, avis utilisateurs et support 24h/24. En séparant le développement du déploiement, le RaaS abaisse considérablement la barrière technique à l'entrée, permettant à des personnes ayant peu ou pas de compétences en programmation de lancer des attaques de rançongiciel sophistiquées. Cette division du travail est l'une des principales raisons pour lesquelles les attaques par ransomware ont explosé en volume et en fréquence.

Le Frost Radar est un outil de benchmarking concurrentiel publié par le cabinet d'analystes Frost & Sullivan. Pour un secteur ou un segment de marché défini, il identifie les entreprises que le cabinet considère comme les plus pertinentes et les positionne selon deux mesures : un Growth Index, qui couvre l'exécution commerciale, et un Innovation Index, qui couvre la solidité et la trajectoire de la technologie. Les entreprises bien positionnées sur les deux axes sont présentées comme étant les mieux placées pour une croissance future. Le nom Frost Radar est une marque déposée. Vous pouvez également voir l'outil désigné sous le nom de Frost & Sullivan Radar. Les évaluations d'analystes peuvent influencer les achats technologiques, si bien que les acheteurs doivent comprendre ce que mesure le graphique et ce qu'il ne couvre pas. Une position sur un Radar reflète l'évaluation par un analyste de la croissance et de l'innovation. Elle ne détermine pas si un produit correspond à un environnement donné.

Une attaque Ransom DDoS, ou RDDoS, est une tentative d'extorsion dans laquelle des criminels exigent un paiement en menaçant de saturer les services d'une organisation avec du trafic et de les rendre indisponibles. La demande arrive généralement par e-mail, affirme que l'expéditeur dispose d'un botnet important, fixe une échéance et demande un paiement en cryptomonnaie. Parfois, une courte rafale de trafic accompagne le message pour démontrer la capacité de l'attaquant. Souvent, rien ne l'accompagne. Ce dernier point compte. Envoyer un e-mail d'extorsion ne nécessite aucune capacité DDoS, si bien que de nombreuses demandes de RDDoS proviennent d'acteurs incapables de mettre leur menace à exécution. L'organisation qui reçoit le message doit donc résoudre deux problèmes : évaluer la crédibilité de la menace et se préparer à l'impact sur la disponibilité si une attaque se produit. Cette page explique le fonctionnement du RDDoS, ses différences avec le DDoS et le ransomware, la façon d'évaluer une demande et la manière d'y répondre sans prendre une décision précipitée.

Les règles YARA sont des descriptions lisibles par l'humain, des signatures de correspondance de motifs, qui permettent aux analystes en sécurité d'identifier et de classer des logiciels malveillants (malware) à partir de motifs textuels ou binaires. YARA est lui-même un outil open source, souvent désigné comme « le couteau suisse de la correspondance de motifs pour les chercheurs en malware », et une règle YARA est une description unique rédigée dans son langage. Chaque règle associe un ensemble de motifs (chaînes de caractères, séquences d'octets hexadécimaux ou expressions régulières) à une condition booléenne qui détermine quand un fichier ou un processus correspond. La puissance de cette approche est qu'elle capture l'« ADN » durable d'une famille de malware, les fragments de code, les chaînes de configuration et les motifs structurels, plutôt qu'un simple hachage (hash) de fichier. Cela signifie qu'une règle bien écrite peut détecter de nombreuses variantes d'une menace, résistant aux mutations qui contournent la simple correspondance de hachage. YARA est largement utilisé par les chercheurs en malware, les chasseurs de menaces (threat hunters), les ingénieurs de détection et les équipes de réponse aux incidents dans les bacs à sable (sandboxes), les moteurs antivirus, les plateformes de cyber threat intelligence et les SIEM.

Roaming Mantis est une opération cybercriminelle à motivation financière qui cible les utilisateurs de téléphones mobiles. Active depuis 2018, elle fonctionne principalement par hameçonnage par SMS, appelé smishing : un message qui semble provenir d'une entreprise de livraison ou d'un fournisseur de services contient un lien, puis la suite dépend du téléphone. Les utilisateurs Android sont orientés vers l'installation d'une application malveillante présentée comme une mise à jour de navigateur, tandis que les utilisateurs d'iPhone sont envoyés vers une page qui imite une connexion Apple pour voler leurs credentials. L'opération est évaluée comme étant menée par des acteurs sinophones et a d'abord ciblé des pays riches d'Asie avant de s'étendre à l'Europe et au-delà. Roaming Mantis est un cas particulier dans un glossaire de cybersécurité, car ses cibles sont des personnes plutôt que des réseaux d'entreprise. Elle y a pourtant toute sa place. Une opération qui intercepte les SMS d'un téléphone personnel peut accéder directement au mécanisme d'authentification sur lequel de nombreuses organisations comptent encore. Cette page explique la différence entre Roaming Mantis et le malware MoqHao, comment l'opération fonctionne, ce qu'elle vole, pourquoi elle concerne les entreprises et comment les organisations peuvent s'en défendre.

Un SaaS SIEM est une version du Security Information and Event Management hébergée dans le cloud et livrée en mode Software-as-a-Service, gérée par le fournisseur plutôt que déployée sur l'infrastructure de l'entreprise.

Scattered Spider est un groupe cybercriminel à motivation financière, actif depuis au moins 2022, qui s'est imposé comme l'un des acteurs de la menace les plus perturbateurs ciblant les entreprises occidentales. Sa réputation repose davantage sur l'ingénierie sociale que sur l'exploitation de failles techniques : ses opérateurs appellent les services d'assistance informatique d'entreprises, se font passer pour des employés et contournent mots de passe et authentification multifacteur (MFA) avant d'escalader vers le vol de données, l'extorsion et le déploiement de ransomware. Suivi sous de nombreux noms — UNC3944, Muddled Libra, Octo Tempest, 0ktapus, Scatter Swine et Star Fraud, entre autres — le groupe forme un réseau décentralisé de jeunes anglophones natifs opérant depuis les États-Unis, le Royaume-Uni et l'Europe, dans la mouvance d'une communauté en ligne plus large connue sous le nom de The Com. Parmi ses cibles les plus connues figurent MGM Resorts, Caesars Entertainment, Twilio, Transport for London et de grands distributeurs britanniques comme Marks & Spencer.

Le Security Information and Event Management (SIEM) est une solution de sécurité qui collecte, agrège et corrèle les données de journaux et d'événements de l'ensemble de l'infrastructure IT d'une organisation pour fournir une analyse en temps réel des alertes de sécurité. En centralisant les données provenant des serveurs, endpoints, applications, équipements réseau et services cloud dans une seule plateforme, un SIEM offre aux équipes de sécurité une vue unifiée de leur posture de sécurité pour détecter, investiguer et répondre aux menaces avant qu'elles ne perturbent l'activité. Il automatise également une grande partie du reporting nécessaire pour démontrer la conformité réglementaire.

Un Security Operations Center (SOC) est une équipe et une fonction centralisées chargées de surveiller en continu l'environnement IT d'une organisation pour détecter, analyser et répondre aux cybermenaces. Souvent prononcé « sock » et parfois appelé Information Security Operations Center (ISOC), un SOC réunit les personnes, les processus et la technologie utilisés pour défendre une organisation, fonctionnant en permanence afin que les menaces soient détectées et contenues rapidement, quelle que soit l'heure. Sa mission est double : gérer les incidents de sécurité en temps réel et améliorer continuellement la posture de sécurité de l'organisation sur le long terme.

Le Security Orchestration, Automation and Response (SOAR) est une solution logicielle qui permet aux équipes de sécurité d'intégrer et de coordonner des outils de sécurité distincts, d'automatiser les tâches répétitives et de rationaliser la réponse aux incidents et aux menaces via une plateforme unique. Plutôt que d'obliger les analystes à basculer manuellement entre des outils déconnectés, le SOAR les connecte dans des flux de travail reproductibles appelés playbooks, automatise les tâches de bas niveau et offre au Security Operations Center (SOC) un seul endroit pour gérer les alertes. Il en résulte une réponse plus rapide et plus cohérente, ainsi qu'un temps moyen de détection (MTTD) et un temps moyen de réponse (MTTR) réduits.

L'empoisonnement SEO (SEO poisoning), également appelé empoisonnement des moteurs de recherche, est une technique par laquelle des attaquants manipulent le classement des moteurs de recherche pour que des sites malveillants apparaissent en tête des résultats pour des termes de recherche populaires. Lorsque quelqu'un recherche une requête courante et clique sur un premier résultat, il atterrit sur un site conçu pour paraître légitime mais dont l'objectif est de délivrer des malwares ou de voler des informations. C'est une forme d'ingénierie sociale qui retourne contre l'utilisateur sa propre confiance dans les résultats de recherche, et c'est désormais un moyen courant pour les attaquants d'obtenir un premier point d'appui à l'intérieur d'une organisation. Ce qui rend l'empoisonnement SEO efficace, c'est que la cible vient d'elle-même. Contrairement à un email de phishing qui arrive sans être sollicité, un résultat de recherche empoisonné rencontre un utilisateur qui cherche activement et est enclin à faire confiance à ce qui se classe en tête. Cette page explique comment fonctionne l'empoisonnement SEO, les étapes d'une attaque typique, les malwares qu'il délivre, pourquoi il réussit, et comment les organisations le détectent et s'en défendent.

Le shadow IT désigne l'utilisation de logiciels, de matériels, de services cloud ou d'autres technologies au sein d'une organisation sans la connaissance ni l'approbation du service informatique. Il se manifeste généralement de deux façons : un employé adopte un outil non approuvé pour traiter des données professionnelles, ou utilise un outil approuvé de façon non autorisée, par exemple via un compte personnel. L'intention est rarement malveillante. Les personnes utilisent ce qui leur permet de faire leur travail. Mais comme la DSI n'a aucune visibilité sur ces outils, elle ne peut ni les sécuriser, ni les surveiller, ni les maintenir, et c'est dans cet angle mort que réside le risque. Le shadow IT a progressé avec le passage au cloud et au logiciel en tant que service (SaaS), où un nouvel outil est à portée d'une simple inscription, et il a encore accéléré avec l'IA générative. Cette page couvre ce qu'est le shadow IT, pourquoi il apparaît, les risques et les avantages réels, les exemples courants dont la catégorie en plein essor du shadow AI, et comment les organisations reprennent le contrôle.

Le SOC as a Service (SOCaaS) est un modèle par abonnement qui fournit les capacités d'un Security Operations Center (SOC) complet via le cloud, opéré par un prestataire tiers plutôt que par une équipe interne. Le prestataire fournit les personnes, les outils et les processus nécessaires à la surveillance des menaces, à la détection, à l'investigation et à la réponse en continu sur vos réseaux, endpoints, environnements cloud et applications. Vous bénéficiez de la protection d'un SOC pleinement opérationnel sans avoir à le construire, l'équiper ou le staffier vous-même.

Une Plateforme de Délivrance de Services de Sécurité (SSDP, pour Security Service Delivery Platform) est une infrastructure de cybersécurité intégrée qui permet aux MSSP et aux équipes de sécurité de livrer, gérer et orchestrer un large éventail de services de sécurité depuis un point central.

L'authentification unique (SSO, Single Sign-On) est une méthode d'authentification qui permet aux utilisateurs d'accéder de façon sécurisée à plusieurs applications et sites web avec un seul jeu d'identifiants. Au lieu de se connecter séparément à chaque application, l'utilisateur s'authentifie une seule fois auprès d'un fournisseur d'identité de confiance, qui accorde ensuite l'accès à tous les systèmes connectés pour la durée de la session. Le SSO supprime le besoin de mémoriser et de ressaisir un mot de passe différent pour chaque service, et il donne aux équipes IT un seul endroit centralisé pour gérer et sécuriser les accès. C'est un élément fondamental de la gestion des identités et des accès (IAM, Identity and Access Management), et il fonctionne mieux lorsqu'il est associé à l'authentification multifacteur (MFA, Multi-Factor Authentication).

STIX (Structured Threat Information Expression) est un langage ouvert et standardisé pour décrire le renseignement sur les cybermenaces (cyber threat intelligence, CTI) dans un format cohérent, structuré et lisible par les machines. Il fournit aux équipes de sécurité et aux systèmes un vocabulaire commun pour représenter les menaces — indicateurs, malwares, acteurs malveillants, schémas d'attaque et les relations entre eux — afin que le renseignement puisse être partagé, stocké et analysé de la même manière entre différentes organisations et différents outils. STIX définit le « quoi » du renseignement sur les menaces. Son protocole complémentaire, TAXII (Trusted Automated Exchange of Intelligence Information), définit le « comment » pour le transporter. Parce que STIX est lisible par les machines, les données de menaces exprimées dans ce format peuvent circuler automatiquement entre les SIEM, les plateformes SOAR, les solutions EDR, les plateformes de renseignement sur les menaces et les communautés de partage, sans reformatage manuel.

Les Tactiques, Techniques et Procédures (TTP) sont l'empreinte comportementale d'un acteur malveillant, et la façon structurée dont les équipes de sécurité décrivent la manière dont les adversaires planifient et exécutent des cyberattaques. Les tactiques sont les objectifs de haut niveau (le « pourquoi »), les techniques sont les méthodes utilisées pour les atteindre (le « comment »), et les procédures sont les implémentations spécifiques et étape par étape (le « comment exactement »). Contrairement aux indicateurs de compromission (IoC), qui décrivent les artefacts laissés par un attaquant, les TTP décrivent des comportements, ce qui en fait un renseignement bien plus durable pour détecter et attribuer les menaces.

TAXII (Trusted Automated Exchange of Intelligence Information) est un protocole ouvert de couche applicative permettant d'échanger du renseignement sur les cybermenaces (cyber threat intelligence, CTI) via HTTPS. Concrètement, TAXII fait office de transport : il définit une API RESTful et un ensemble d'exigences pour les clients et serveurs TAXII, afin que les organisations puissent envoyer, recevoir, demander et gérer des renseignements sur les menaces de manière automatisée et standardisée. TAXII est presque toujours mentionné aux côtés de STIX, mais les deux jouent des rôles distincts. STIX est le langage qui structure le renseignement (le « quoi ») ; TAXII est le protocole qui le transporte entre les systèmes (le « comment »). TAXII a été conçu spécifiquement pour transporter STIX, et la prise en charge de l'échange de contenu STIX 2.1 est obligatoire, mais il peut aussi transporter d'autres formats.

Les traffers sont des groupes clandestins qui distribuent des infostealers sur des ordinateurs compromis et sont rémunérés par commissions par les cybercriminels en échange des identifiants volés.

Turla est un groupe de cyberespionnage parrainé par l'État russe, attribué au Service fédéral de sécurité russe (FSB). Actif depuis au moins 2004, certaines évaluations le reliant à des intrusions remontant à la fin des années 1990, il a compromis des organisations dans plus de 50 pays et s'est concentré de façon constante sur les ministères des Affaires étrangères, les ambassades, les organisations de défense, les forces militaires, les institutions de recherche et les entreprises pharmaceutiques. Turla est l'un des groupes d'espionnage les plus anciens et les plus techniquement capables jamais documentés, connu pour développer ses propres malwares plutôt que de s'appuyer sur des outils génériques, et pour un savoir-faire que d'autres acteurs tentent rarement. Le groupe est suivi sous un long liste de noms, le plus souvent Snake, Uroburos, Waterbug et Venomous Bear, et MITRE ATT&CK le recense sous la référence G0010. Cette page couvre les alias et l'attribution de Turla, ses cibles, ses méthodes opérationnelles, ce qui rend son savoir-faire distinctif et comment les organisations s'en défendent, en s'appuyant en partie sur des recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.

Tycoon 2FA est un kit de Phishing-as-a-Service conçu pour mener des attaques de type adversary-in-the-middle, capable de contourner l'authentification multifacteur, en particulier les mots de passe à usage unique basés sur le temps.

Vice Society était un groupe cybercriminel à motivation financière qui menait des opérations de ransomware à double extorsion entre l'été 2021 et le milieu de l'année 2023. Il volait les données avant de chiffrer les systèmes, puis menaçait de publier les informations dérobées. Une organisation disposant de sauvegardes fonctionnelles avait donc toujours une raison de payer. Le groupe est également suivi sous les noms Vanilla Tempest, DEV-0832 et Vice Spider. Deux éléments le distinguaient. Pendant la majeure partie de son activité, il n'a pas développé son propre ransomware. Il déployait des familles obtenues auprès d'autres cybercriminels. Il ciblait aussi des secteurs que plusieurs de ses concurrents évitaient volontairement, notamment les établissements scolaires. Cette orientation est devenue suffisamment visible pour que le FBI, la CISA et le MS-ISAC publient un avis conjoint à son sujet en septembre 2022. L'équipe Threat Detection & Research (TDR) de Sekoia a dressé le profil du groupe en juin 2022, avant qu'il ne devienne largement connu, à partir de sa propre analyse du site de fuite de données. Cette page présente ce qu'était Vice Society, pourquoi le secteur de l'éducation comptait autant pour lui et ce que l'on sait de la suite de son activité. C'est ce dernier point qui reste le plus souvent mal expliqué dans les contenus publiés sur le groupe.

Un réseau privé virtuel (VPN) est une technologie qui crée une connexion sécurisée et chiffrée sur un réseau moins sécurisé, généralement l'internet public. Il fonctionne en chiffrant le trafic d'un appareil et en le faisant transiter par un tunnel chiffré vers un serveur ou une passerelle VPN, ce qui masque la véritable adresse IP de l'utilisateur et rend les données illisibles pour quiconque les intercepte. Les organisations utilisent les VPN pour offrir aux employés distants un accès sécurisé aux ressources de l'entreprise et pour relier des sites entre eux via l'internet ; les particuliers y ont recours pour protéger leur vie privée sur les Wi-Fi publics et garder leur activité en ligne confidentielle. Le nom résume bien le concept. Virtuel, car aucune ligne physique dédiée n'est impliquée. Privé, car le chiffrement assure la confidentialité du trafic. Réseau, car l'appareil et le serveur VPN coopèrent pour maintenir la connexion.

Une vulnérabilité zero-day est une faille de sécurité dans un logiciel, un matériel ou un firmware, inconnue de l'éditeur ou de toute personne en mesure de la corriger. Aucun correctif n'existe. Le terme l'illustre parfaitement : les développeurs ont eu zéro jour pour remédier à la faille avant qu'elle ne puisse être exploitée. Comme il n'existe pas de correctif officiel et que les défenses traditionnelles basées sur les signatures n'ont rien à analyser, une vulnérabilité zero-day expose tous les utilisateurs du système concerné pendant la période comprise entre la première exploitation et la publication d'un correctif. Les professionnels de la sécurité appellent cela la fenêtre de vulnérabilité. Les vulnérabilités zero-day figurent parmi les menaces les plus dangereuses en matière de cybersécurité, prisées par les cybercriminels, les acteurs étatiques et les groupes APT (menaces persistantes avancées) précisément parce que les défenseurs ne peuvent pas se préparer à une faiblesse que personne ne connaît encore.

WebDAV (Web Distributed Authoring and Versioning) est une extension du protocole HTTP qui permet aux utilisateurs de lire et d'écrire des fichiers sur un serveur web distant, et pas seulement de les télécharger. HTTP standard traite un serveur web comme une source de contenu en lecture seule. WebDAV ajoute la possibilité de créer, modifier, déplacer, copier, supprimer et verrouiller des fichiers à distance, transformant ainsi un serveur web en espace de fichiers partagé accessible via la même connexion HTTP ou HTTPS qu'utilise un navigateur. Il est défini par la RFC 4918, qui a remplacé la RFC 2518 d'origine. WebDAV fait partie du web depuis des décennies et sous-tend des outils familiers, notamment les protocoles de calendrier et de contacts CalDAV et CardDAV, qui sont construits par-dessus. Cette page explique comment fonctionne WebDAV, à quoi il sert, comment il se compare à des alternatives comme FTP, et, parce que c'est un glossaire de sécurité, comment les attaquants ont appris à exploiter un protocole légitime pour délivrer des malwares.

Le XDR (Extended Detection and Response) est une technologie de sécurité unifiée qui collecte et corrèle automatiquement les données sur plusieurs couches, y compris les endpoints, les réseaux, les charges de travail cloud, les e-mails et les identités, dans une seule plateforme de détection et de réponse. Parfois appelé détection et réponse multi-couches, le XDR a évolué à partir de l'Endpoint Detection and Response (EDR) pour donner aux équipes de sécurité la visibilité, l'analyse et l'automatisation nécessaires pour détecter, investiguer et répondre aux menaces qui se déplacent dans un environnement, plutôt que d'analyser chaque couche en isolation. Il en résulte une détection plus rapide, moins de fatigue liée aux alertes et une posture de sécurité globale renforcée.

L'intégration du XDR avec les solutions existantes consiste à connecter une plateforme Extended Detection and Response aux outils de sécurité déjà en place dans l'entreprise, tels que les pare-feux, le SIEM et l'EDR, afin de renforcer la cybersécurité sans repartir de zéro.

L'architecture zéro confiance (ZTA, Zero Trust Architecture) est une architecture de cybersécurité fondée sur un principe unique : ne jamais faire confiance, toujours vérifier. Là où les modèles de sécurité traditionnels considèrent tout ce qui se trouve à l'intérieur du périmètre réseau comme digne de confiance, une architecture zéro confiance traite chaque utilisateur, appareil, application et connexion comme non fiable par défaut, qu'il se trouve à l'intérieur ou à l'extérieur du réseau d'entreprise. Chaque demande d'accès est authentifiée, autorisée et continuellement validée sur la base de l'identité, de l'état de santé de l'appareil et du contexte, et l'accès est accordé avec le niveau de privilège minimal nécessaire. L'objectif est de réduire la surface d'attaque, prévenir les déplacements latéraux et contenir les compromissions avant qu'elles ne se propagent dans un environnement distribué de services cloud, de télétravailleurs et d'appareils connectés.