Combiner Sekoia.io Threat Intelligence et OpenCTI

L'annonce du partenariat Filigran x Sekoia.io est l'occasion de remettre en lumière les avantages de l'intégration entre OpenCTI et Sekoia Threat Intelligence.

Le connecteur Sekoia existant pour OpenCTI a été publié en 2021 et est disponible gratuitement sur le dépôt Github d'OpenCTI. Ce connecteur est régulièrement mis à jour et maintenu par Filigran.

Qu'est-ce que Sekoia.io ?

Sekoia.io est un éditeur européen de technologies de cybersécurité en mode SaaS créé en France qui fournit des technologies modernes, éprouvées sur le terrain, pour permettre à ses clients (grands comptes, MSSP, entités publiques, etc.) de neutraliser les cybermenaces avant qu'elles n'aient des conséquences.

Les solutions de Sekoia.io s'appuient sur la connaissance des attaquants, de leurs tactiques, modes opératoires, outils et infrastructures. L'ensemble de cette intelligence est produite par l'une des plus grandes équipes privées de cyber threat intelligence en Europe. Sekoia.io Threat Intelligence est utilisée par diverses équipes expérimentées en CTI : SOC, CERT/CSIRT, agences nationales, etc.

Sekoia.io propose 2 solutions :

• CTI (Sekoia Intelligence) : Une CTI hautement structurée, contextualisée et exploitable produite par les analystes qualifiés de Sekoia.io, l'équipe Threat Detection & Research (TDR).
• Plateforme SOC / XDR (Sekoia Defend) : Une plateforme SaaS Open XDR vendor-agnostic qui exploite la CTI et d'autres capacités de détection pour combiner anticipation et réponse automatisée aux incidents (capacités SOAR intégrées).

Pour rendre l'anticipation réelle, la plateforme va au-delà de l'approche moyenne en matière de modélisation des attaquants et rend cette intelligence disponible à la fois pour son moteur de détection et pour ses partenaires sous forme de flux CTI.

Quel type de threat intelligence Sekoia.io fournit-elle ?

Sekoia Threat Intelligence est produite selon 5 piliers principaux : fraîcheur, fiabilité, exclusivité, couverture et exploitabilité. Le résultat est une CTI native STIX 2.1 avec des informations et un contexte précieux.

Indicateurs Sekoia.io affichés sur OpenCTI

• Pour la fraîcheur, la moitié de l'intelligence est créée lorsqu'un sujet brûlant devient réel, l'autre moitié fournit de l'intelligence aux clients avant que l'attaquant ne l'utilise.
• Pour la fiabilité, les données sont traitées via un pipeline conçu pour vérifier, qualifier, enrichir et contextualiser chaque objet.
• Pour l'exclusivité, de nombreux trackers sont mis en place pour observer les nouveaux mouvements des attaquants et les transformer en indicateurs précieux qui seront utilisés pour les attaques futures.
• Pour la couverture, la plateforme transforme tout contenu OSINT (articles de blog, listes de menaces, etc.) en objets contextualisés, permettant la consolidation dans une vue unique de ce qui est dit chaque jour.
• Pour l'exploitabilité, Sekoia.io fournit des courses of action associées aux campagnes ou aux malwares.

Rapport provenant de la threat intelligence Sekoia

Ainsi, Sekoia.io Threat Intelligence intègre des indicateurs, des TTPs, des campagnes, des rapports, des malwares, des localisations/secteurs, des infrastructures et tous les autres objets STIX basés sur des relations.

Aujourd'hui (mai 2024), la base de données graphe Sekoia Threat Intelligence contient environ 7 millions d'indicateurs.

Comment fonctionne l'intégration ?

L'intégration entre OpenCTI et Sekoia.io est un connecteur d'import de données. Ce connecteur permet l'ingestion de nouvelle intelligence depuis Sekoia.io dans une instance OpenCTI avec une préservation à 100% des données source grâce à un support natif STIX 2.1 des deux côtés.

Aperçu du connecteur Sekoia.io dans OpenCTI

Vous pouvez consulter en détail la configuration du connecteur CTI Sekoia ici.

Filigran et Sekoia.io poursuivront leurs efforts communs à l'avenir pour améliorer l'intégration existante entre leurs solutions et répondront à de nouveaux cas d'usage. Restez à l'écoute !

Si vous avez des questions, demandes, commentaires ou retours à partager avec nous, n'hésitez pas à nous rejoindre sur Slack !