Qu'est-ce que la Cyber Threat Intelligence (CTI) ?

La Cyber Threat Intelligence expliquée

Les organisations de toute taille dépendent désormais de systèmes numériques, ce qui fait de l'identification et de la réduction du risque cyber une priorité fondamentale. La CTI est l'information qu'une organisation collecte et analyse sur les menaces potentielles et actives pesant sur ses systèmes et son infrastructure. Elle offre aux RSSI et aux équipes de sécurité une visibilité sur les motivations et les méthodes des acteurs malveillants susceptibles de les cibler, les aidant à anticiper les attaques, renforcer les défenses, améliorer la réponse aux incidents et limiter les dommages causés par une compromission.

La distinction la plus importante est celle entre données brutes sur les menaces et véritable renseignement. Le renseignement sur les menaces se caractérise par trois propriétés. Il est spécifique à l'organisation, centré sur votre surface d'attaque et vos actifs particuliers. Il est détaillé et contextualisé, couvrant les acteurs malveillants derrière une attaque, les tactiques, techniques et procédures (TTP) qu'ils utilisent, et les indicateurs de compromission (IoC) qui signalent une intrusion. Et il est actionnable, donnant aux équipes des éléments concrets pour corriger les vulnérabilités, prioriser les menaces et améliorer leur posture de sécurité.

Pourquoi la Cyber Threat Intelligence est importante

La CTI est un élément essentiel de la cyber résilience, que le National Institute of Standards and Technology (NIST) décrit comme la capacité d'anticiper, de résister, de se remettre et de s'adapter aux attaques et aux compromissions. Plutôt que de traiter manuellement chaque alerte, le renseignement permet aux organisations de s'appuyer sur de grandes bases de données sur les menaces et de prendre des décisions éclairées, parfois automatisées. Si un fichier est identifié comme malveillant dans un environnement, cette connaissance peut être utilisée pour le bloquer partout.

Il y a aussi un argument financier. Les recherches sur les coûts des violations de données montrent de façon constante que la détection et l'escalade représentent la part la plus importante des coûts totaux d'une violation. Les programmes qui aident les équipes à détecter les attaques plus tôt, et à en bloquer certaines, réduisent ces coûts et limitent l'impact des violations qui se produisent malgré tout.

Les bénéfices de la Cyber Threat Intelligence

La CTI renforce la posture de sécurité d'une organisation dans son ensemble, de la prévention aux décisions stratégiques. Les principaux bénéfices comprennent :

• Défense proactive : Plutôt que de répondre uniquement aux menaces connues, les équipes peuvent comprendre les adversaires probables et anticiper leurs mouvements.
• Meilleure gestion des risques : La visibilité sur les motivations et méthodes des attaquants aide les RSSI et les SOC à allouer les ressources aux menaces les plus pertinentes pour leur secteur.
• Réponse aux incidents plus rapide et plus précise : Connaître les TTP d'un adversaire permet aux équipes de réponse d'adapter le confinement et la remédiation, réduisant l'impact d'un incident.
• Meilleure visibilité : La CTI fait remonter les menaces cachées et révèle les comportements adversariaux, permettant aux équipes de prendre des décisions plus éclairées.
• Sensibilisation accrue des collaborateurs : Des données réelles sur les menaces peuvent alimenter la formation et les procédures de sécurité dans l'ensemble de l'organisation.

Qui bénéficie du renseignement sur les menaces ?

La CTI apporte de la valeur aux organisations de toute taille, mais la façon dont elle aide dépend du rôle. Les petites entreprises qui ne peuvent pas construire une opération de sécurité interne complète l'utilisent pour atteindre un niveau de protection qu'elles ne pourraient autrement pas se permettre, tandis que les grandes entreprises l'utilisent pour réduire les coûts et rendre leurs analystes plus efficaces.

Les trois types de Cyber Threat Intelligence

La CTI se décline en différents niveaux de profondeur et de détail, chacun destiné à un public différent. Les trois types principaux forment une courbe de maturité : plus on avance du tactique vers le stratégique, plus l'analyse s'enrichit et nécessite des ressources.

Renseignement tactique

Le renseignement tactique est technique et orienté vers le futur immédiat. Il traite principalement des IoC tels que les adresses IP malveillantes, les URL, les hachages de fichiers et les noms de domaine, et il est souvent lisible par les machines afin de pouvoir alimenter directement les outils de sécurité via des feed de données ou des API. Sa faiblesse réside dans sa courte durée de vie : les attaquants changent fréquemment d'infrastructure, les IoC vieillissent rapidement, et les feed bruts peuvent générer de nombreux faux positifs sans indication sur la marche à suivre.

Renseignement opérationnel

Le renseignement opérationnel va plus loin dans le qui, le pourquoi et le comment d'une attaque. Il se concentre sur l'attribution, la motivation et les TTP qu'un adversaire utilise pour planifier et mener des campagnes. Contrairement au renseignement tactique, il n'est pas entièrement automatisé et requiert une analyse humaine, mais il a une durée de vie plus longue car les attaquants ne peuvent pas changer leurs comportements aussi facilement qu'ils remplacent un outil ou un malware.

Renseignement stratégique

Le renseignement stratégique offre une vue d'ensemble de l'intersection entre les cybermenaces, les événements mondiaux, la géopolitique et le risque métier. Il est généralement moins technique, diffusé sous forme de rapports, et utilisé par des dirigeants comme le RSSI, le DSI et le CTO pour comprendre l'exposition de l'organisation et orienter les investissements à long terme. C'est le type le plus difficile à produire car il exige une expertise à la fois en cybersécurité et en géopolitique. Certains référentiels incluent également une quatrième catégorie technique, axée sur les indicateurs et artefacts spécifiques d'une attaque.

Quelles données constituent du renseignement sur les menaces ?

Le renseignement sur les menaces s'appuie sur un large éventail d'informations sur les menaces passées, actuelles et potentiellement futures. Les types de données les plus courants comprennent :

• Indicateurs de compromission (IoC) : Points de données observables tels que les adresses IP malveillantes, les URL et domaines de phishing, les hachages de malware et les adresses e-mail suspectes.
• Tactiques, Techniques et Procédures (TTP) : Comment les attaquants obtiennent un accès, maintiennent leur persistance, élèvent leurs privilèges et se déplacent latéralement, souvent cartographiés selon MITRE ATT&CK.
• Profils d'acteurs malveillants : Les motivations, capacités et campagnes passées des groupes ou individus à l'origine des attaques.
• Informations sur les vulnérabilités : Les faiblesses connues telles que les identifiants Common Vulnerabilities and Exposures (CVE), les systèmes affectés et les stratégies de mitigation.
• Données des réseaux sociaux et du dark web : Signaux provenant de forums et de marchés où les acteurs malveillants communiquent, échangent des outils ou vendent des données dérobées.

Sources de Cyber Threat Intelligence

Un bon renseignement se construit rarement à partir d'une seule source. Il combine des sources internes et externes afin de croiser et d'enrichir les résultats. Les sources courantes comprennent :

• Les données internes issues des journaux réseau, des incidents passés et des outils de sécurité, qui produisent le renseignement contextuel le plus pertinent pour votre environnement.
• L'open-source intelligence (OSINT) issue de ressources publiques.
• Les services commerciaux et à accès restreint qui fournissent des informations non disponibles publiquement.
• Les Information Sharing and Analysis Centers (ISAC) qui partagent du renseignement sectoriel entre leurs membres.
• Les avis gouvernementaux d'agences telles que le FBI, le NCSC britannique ou l'ENISA de l'UE.
• Le renseignement issu du deep et du dark web, qui offre une alerte précoce sur des attaques imminentes et des informations sur les motivations des attaquants.

Le renseignement interne aide à confirmer quelles menaces sont réellement pertinentes pour vos systèmes et révèle vos propres vulnérabilités, tandis que le renseignement externe vous tient informé des adversaires nouveaux et émergents. Les deux ensemble produisent une image bien plus complète que l'un ou l'autre seul.

Le cycle de vie de la Cyber Threat Intelligence

La CTI est produite via un processus continu et itératif qui transforme les données brutes en renseignement finalisé, puis boucle pour s'améliorer. La plupart des équipes suivent une version des six mêmes étapes.

1. Exigences et planification : Définir les questions auxquelles le renseignement doit répondre et les aligner sur les besoins des parties prenantes, par exemple si un nouveau ransomware est susceptible d'affecter l'organisation.
2. Collecte : Rassembler des données brutes sur les menaces à partir de journaux internes, de feed, d'OSINT, de forums et d'experts métier pour répondre à ces exigences.
3. Traitement : Agréger, normaliser et nettoyer les données, supprimer les doublons et les faux positifs, et ajouter du contexte, souvent via l'automatisation, l'IA et des référentiels comme MITRE ATT&CK.
4. Analyse : Transformer les données traitées en véritable renseignement en identifiant des patterns, en évaluant la crédibilité et l'impact, et en formulant des recommandations.
5. Diffusion : Partager les résultats avec les bonnes parties prenantes dans un format adapté à chaque public, des détections techniques aux briefings exécutifs.
6. Retour d'expérience : Évaluer si le renseignement a répondu à ses exigences, puis utiliser les nouvelles questions ou lacunes identifiées pour affiner le cycle suivant.

Outils et services en Cyber Threat Intelligence

Un programme CTI complet mêle généralement plusieurs outils. Chacun a un rôle distinct, et leur combinaison produit la détection et la prévention les plus complètes.

• Plateformes de Threat Intelligence (TIP) : Agrègent, analysent et présentent les données de menaces externes dans un format utilisable, car le volume brut peut autrement submerger une équipe.
• Systèmes SIEM : Collectent et analysent les journaux et les données d'événements internes.
• Feed de renseignement sur les menaces : Fournissent des flux en temps réel d'indicateurs et d'autres données sur les menaces.
• Outils de sandboxing : Détonent en toute sécurité des fichiers suspects dans un environnement isolé.
• Outils OSINT : Collectent du renseignement à partir de sources publiques.
• Systèmes de détection et prévention des cyber intrusions (IDS/IPS) et Cloud Detection and Response (CDR) : Surveillent le trafic, bloquent les attaques et réinjectent le renseignement dans la boucle.

CTI vs. gestion des vulnérabilités

La CTI est souvent confondue avec la gestion des vulnérabilités, mais elles répondent à des questions différentes et fonctionnent mieux ensemble.

Les deux sont complémentaires. Le renseignement sur les vulnérabilités se situe entre elles, en analysant et en priorisant les failles de sécurité selon leur exploitabilité, le ciblage par les adversaires et l'impact métier, afin que les équipes corrigent en priorité ce que les attaquants sont le plus susceptibles d'armer.

Mettre la CTI en pratique : threat hunting et intégration

Transformer le renseignement en résultats concrets implique de l'intégrer à votre stratégie de sécurité existante, ce qui peut nécessiter d'ajuster les processus, de mettre à jour les contrôles et de rafraîchir la formation des utilisateurs. L'une des applications pratiques les plus précieuses est le threat hunting, la recherche proactive de menaces non encore détectées déjà présentes dans un réseau. Des attaquants sophistiqués peuvent passer les défenses périmètriques et rester cachés pendant qu'ils collectent des identifiants et des données. Le threat hunting piloté par la CTI est la façon dont les équipes les identifient et les éjectent, ce qui est particulièrement important pour déloger les groupes de type Advanced Persistent Threat (APT).

Défis de la Cyber Threat Intelligence

Produire une CTI de haute qualité n'est pas simple. Les équipes se heurtent fréquemment à plusieurs obstacles :

• Surcharge d'informations : Les analystes doivent traiter de grands volumes de données et distinguer l'activité normale de l'activité malveillante.
• Actualité : Un renseignement basé sur des informations obsolètes peut activement nuire à la détection, car les indicateurs vieillissent rapidement.
• Pertinence : Tous les renseignements ne s'appliquent pas au contexte et à l'infrastructure d'une organisation donnée.
• Exactitude et faux positifs : Un renseignement de faible qualité gaspille des ressources sur des menaces inexistantes et peut masquer celles qui sont réelles.
• Conformité : La CTI peut impliquer des données personnelles ; les systèmes doivent donc respecter les règles de protection des données applicables.

Regard d'expert : pourquoi la défense multi-source et CTI-led l'emporte

Il existe une façon utile de visualiser ce que fait la CTI, proposée par le COO de Sekoia. Imaginez renforcer votre porte d'entrée avec des serrures supplémentaires et des caméras. Les serrures gèrent les personnes qui tentent de forcer la porte quotidiennement, et les caméras vous permettent de voir quand quelqu'un tente d'entrer. Dans un réseau, les serrures sont les listes de blocage et les quarantaines construites à partir de la connaissance des éléments utilisés par les attaquants, et la CTI est ce qui modélise l'ensemble du tableau et vous permet de détecter la tentative au moment où elle se produit. C'est la différence entre espérer que vos défenses tiennent et savoir quand elles sont testées.

L'obstacle récurrent à une bonne CTI est le faux positif. Quand chaque alerte mineure se déclenche, les analystes sont submergés et les incidents réels sont manqués. L'objectif est de réduire drastiquement les faux positifs, idéalement en dessous de cinq pour cent, afin que les alertes qu'un SOC reçoit soient légitimes et justifient une action. Atteindre ce niveau de confiance est difficile avec un seul feed, c'est pourquoi Sekoia croise de nombreuses sources de données : quand une source signale quelque chose comme malveillant et que d'autres le confirment, la confiance dans ce résultat augmente. Sekoia produit également son propre renseignement, en investiguant et en enrichissant les données via une équipe dédiée de Threat Detection & Research (TDR) d'analystes spécialisés, et le modélise dans les formats ouverts STIX (Structured Threat Information Expression) et TAXII (Trusted Automated eXchange of Intelligence Information) pour qu'il s'intègre au plus grand nombre d'outils possible. En tant qu'éditeur européen, Sekoia associe cette approche multi-source et CTI-led à une posture de souveraineté des données qui répond à des exigences que les généralistes américains satisfont rarement, et son moteur natif Sekoia Intelligence alimente en renseignement de haute confiance les SIEM, les plateformes de Security Orchestration, Automation and Response (SOAR), les pare-feux et les TIP. Comme le dit le COO, une prévention et une détection optimales ne sont tout simplement pas possibles sans renseignement sur les menaces.

‍

Questions fréquentes