Définir les Observables, Indicateurs et Infrastructure en Cyber Threat Intelligence

Dans un article précédent, nous avons exploré les différences entre les Threat Actors et les Intrusion Sets, clarifiant leurs rôles distincts dans les cadres structurés de threat intelligence comme STIX et OpenCTI. S'appuyant sur ces fondations, cet article se concentre sur une autre distinction critique en cybersécurité : les Observables, Indicateurs et Infrastructure. Bien que ces termes soient souvent utilisés de manière interchangeable, ils représentent différentes composantes de la threat intelligence, chacune servant un objectif unique dans la détection, l'analyse et l'atténuation des cybermenaces.

Cet article vise à clarifier ces différences, expliquer comment elles s'interconnectent et fournir des conseils sur leur utilisation appropriée dans les modèles de threat intelligence.

Définition des termes

Observables

Les Observables sont des points de données brutes ou des événements mesurables au sein d'un système ou d'un réseau. Comme illustré ci-dessous, les observables en eux-mêmes n'indiquent pas nécessairement un comportement malveillant et peuvent inclure des éléments comme des adresses IP ou domaines légitimes associés à une organisation. Cependant, les observables servent davantage de pièces d'information qui peuvent aider les analystes à comprendre l'activité se produisant dans leurs réseaux et servent de fondation pour une analyse plus approfondie.

Les exemples incluent :

• Adresses IP : Identifiants numériques, qui peuvent être statiques ou dynamiques, attribués aux appareils sur un réseau.
• • Ex : 192.168.1.1 est une adresse IP locale courante qui peut être un observable trouvé dans les journaux réseau.
• Noms de domaine : Adresses lisibles par l'homme qui correspondent à des adresses IP et sont utilisées pour accéder aux services en ligne.
• • Ex : example.com est un domaine qui peut être observé dans les requêtes DNS.
• Hash de fichiers : Identifiants uniques générés par des algorithmes (par ex., MD5, SHA-256, SHA-1) représentant des fichiers spécifiques.
• • Ex : 61e2f9029baf7ce21d8de2eddea55405f20ed5db26ecbdaea42404ca28a08d7c est un hash SHA-256 représentant AnyDesk.exe, qui peut être bénin ou utilisé à des fins malveillantes.
• Valeurs de clés de registre : Paramètres de configuration dans le registre des systèmes Windows qui sont souvent modifiés par les malwares pour la persistance et peuvent être surveillés pour détecter les changements
• • Ex : **Clé de registre :**HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
  • Valeur de registre :
  • • Nom : MaliciousApp
    • Type : REG_SZ (String)
    • Données : C:\Users\Public\malicious.exe
• Trafic réseau : Modèles observés dans les communications réseau, tels que l'activité liée aux communications de command-and-control (C2), aux exploitations et/ou à l'exfiltration de données
• • Ex : GET /malicious/path HTTP/1.1 est un exemple de modèle de requête HTTP suspecte.

Figure 1 : Types d'Observables suivis dans OpenCTI

Indicateurs

Les Indicateurs, ou Indicators of Compromise (IOC), sont des Observables enrichis de contexte pour signifier des menaces potentielles. Un Indicateur inclut généralement un modèle ou une logique qui définit les conditions dans lesquelles un Observable pourrait constituer une menace.

Dans le cadre d'OpenCTI, un Indicateur se présente sous la forme d'un objet de détection défini par un modèle de recherche, qui peut être exprimé dans divers formats tels que STIX, Sigma, YARA, et plus encore. En plus du modèle, les Indicateurs incluent souvent des informations supplémentaires qui enrichissent son contexte pour la détection, telles que les dates de validité, la phase pertinente de la kill chain, et des attributs actionnables (par ex., statut « révoqué », etc.). L'objectif derrière les Indicateurs est de lier des Observables comme ceux ci-dessus à des activités malveillantes et de fournir une intelligence actionnable pour aider les équipes de sécurité à détecter et répondre plus efficacement aux cybermenaces.

Figure 2 : Types de modèles d'Indicateurs suivis dans OpenCTI

Les exemples incluent :

• Un modèle STIX 2.1 contenant une adresse IP connue pour être utilisée pour le command-and-control.

Figure 3 : Modèle d'Indicateur pour une règle Stix 2.1 pour une IP malveillante

• Une règle Sigma détectant la création de nouveaux comptes administrateurs depuis l'interface de ligne de commande, indiquant des tentatives de créer des comptes administrateurs non autorisés.

Figure 4 : Modèle d'Indicateur pour une règle Sigma pour une création de compte administrateur suspecte

• Une règle Suricata détectant l'exécution de commandes PowerShell encodées en Base64, souvent utilisées par les acteurs malveillants pour l'obfuscation.

Figure 5 : Modèle d'Indicateur pour une règle Suricata pour détecter l'exécution PowerShell encodée en Base64

Infrastructure

Généralement, l'Infrastructure fait référence aux ressources, outils et services utilisés par les acteurs malveillants pour mener leurs activités malveillantes. Comme les Observables, l'Infrastructure en elle-même n'est pas intrinsèquement malveillante et peut englober un large éventail de ressources telles que celles présentes dans un environnement cible. Cependant, lorsqu'elle est référencée dans le contexte des cyberattaques, l'Infrastructure implique généralement les actifs utilisés par les adversaires pour mener leurs opérations.

Comprendre l'Infrastructure d'un attaquant est essentiel pour l'attribution et le threat hunting proactif, car cela révèle le cadre sous-jacent, les méthodes et les outils utilisés par un acteur malveillant pour faciliter leurs opérations malveillantes.

Les exemples incluent :

• Serveurs Command-and-Control (C2) : Domaines et adresses IP associés aux serveurs utilisés par les attaquants pour maintenir la communication avec les systèmes compromis, émettre des commandes et exfiltrer des données.
• • Ex : 74.178.90.36:443 est une adresse IP et un port hébergeant un panneau C2 pour l'administration à distance.
• Infrastructure de phishing : Sites web, emails et actifs utilisés pour tromper les victimes et leur faire révéler des informations sensibles telles que des identifiants ou des données financières.
• • Ex : login-microsoft-security[.]com est une fausse page de connexion Microsoft pour la récolte d'identifiants.
• Infrastructure de distribution de malware : Sites web ou serveurs hébergeant des payloads malveillants pour des téléchargements furtifs ou la livraison de malwares.
• • Ex : malicious-download[.]xyz/malware.exe est un exemple de serveur de livraison de payload.
• Services d'anonymisation : Services comme les Virtual Private Networks (VPN) ou The Onion Router (TOR) que les attaquants utilisent pour dissimuler leurs identités et localisations.
• • Ex : Nœud de sortie TOR IP : 176.10.104.240 utilisé pour des tentatives de connexion par force brute.

Différences clés

Un diagramme de Venn illustrant les différences et chevauchements des Indicateurs, Observables et Infrastructure

Exemples concrets

Observables en action

Une organisation détecte une série de tentatives de connexion échouées depuis une seule adresse IP sur une courte période. L'adresse IP seule est un Observable — elle peut être bénigne ou faire partie d'une attaque. L'équipe de sécurité enrichit ces données en consultant des sources de réputation, révélant que l'IP est associée à des tentatives de force brute antérieures. Cette information aide les analystes à déterminer s'il faut bloquer l'IP ou enquêter davantage.

Indicateurs en action

Une organisation observe la modification de son registre Windows par un acteur cybercriminel pour ajouter une entrée de registre nommée « HKLM\Software\TitanPlus », qui contient une liste d'adresses IP qu'un fichier malveillant utilise pour les connexions C2. L'équipe de sécurité crée un Indicateur au format STIX qui signale les modifications du registre Windows utilisant reg.exe pour créer une clé de registre nommée « HKLM\Software\TitanPlus » contenant une liste d'adresses IP C2 afin d'aider à détecter un comportement similaire dans les incidents futurs.

Infrastructure en action

Une organisation détecte des communications avec une adresse IP liée à un groupe de ransomware connu. En cartographiant l'infrastructure de l'adversaire via des outils open source, l'équipe de sécurité identifie des domaines et IP supplémentaires associés à l'attaquant, ce qui leur permet de bloquer le trafic malveillant associé avant que l'attaque n'escalade.

Applications pratiques

Détection et surveillance

Les équipes de sécurité collectent et analysent les observables pour identifier les menaces potentielles. Par exemple, surveiller le trafic réseau pour détecter des adresses IP inhabituelles ou des requêtes HTTP inattendues peut révéler des activités suspectes. Les Indicateurs améliorent ce processus en fournissant des signatures malveillantes connues, permettant aux systèmes automatisés de signaler les menaces rapidement.

Threat hunting

L'analyse des composants d'infrastructure permet aux experts en cybersécurité d'anticiper et de contrer les attaques potentielles. Par exemple, identifier un nouveau site de phishing ciblant une organisation permet de mettre en place des mesures préventives, telles que le blocage du domaine et l'avertissement des utilisateurs. Comprendre l'infrastructure de l'attaquant facilite les stratégies de défense proactives.

Réponse aux incidents

Les Indicateurs guident les efforts de réponse aux incidents en aidant les analystes à déterminer l'étendue d'une attaque et à mettre en œuvre des stratégies d'atténuation. Par exemple, reconnaître un hash de fichier malveillant dans le système déclenche des procédures immédiates d'isolation et de suppression. L'analyse de l'infrastructure aide à perturber les opérations des attaquants en identifiant et en démantèlement les serveurs C2 ou en démantèlant les botnets.

Défis et considérations

Volume et variété

Les organisations traitent quotidiennement d'énormes quantités d'Observables, et gérer les Observables à grande échelle peut être difficile sans automatisation. Différencier les données bénignes des données malveillantes nécessite des techniques de corrélation et d'analyse efficaces, et des plateformes comme OpenCTI avec ses connecteurs d'ingestion et d'enrichissement peuvent aider à trier de vastes ensembles de données et à corréler les Observables avec l'intelligence pertinente.

Le contexte est important

Les acteurs malveillants emploient des techniques sophistiquées pour obfusquer leur Infrastructure, rendant l'attribution difficile. Par exemple, l'utilisation de services d'anonymisation ou le piratage de serveurs légitimes peuvent masquer la véritable source d'une attaque. Une attribution précise nécessite une analyse complète et souvent une collaboration avec d'autres organisations et agences d'application de la loi.

Paysage de menaces dynamique et nature éphémère des Observables

Les attaquants adaptent continuellement leurs tactiques et leur infrastructure, nécessitant une surveillance continue et un partage d'intelligence. Pour illustrer, les acteurs malveillants font fréquemment pivoter et abandonnent leur Infrastructure pour éviter le suivi et la détection, ce qui peut rendre difficile pour les défenseurs de maintenir des données précises au fil du temps.

Par conséquent, il est important de garder à l'esprit la nature éphémère des Observables, tels que les adresses IP et les domaines, et de considérer le cycle de vie d'un indicateur en fonction de sa dernière observation et de sa probabilité de réutilisation au fil du temps. Pour une analyse et une détection efficaces à long terme, les défenseurs devraient prioriser les Indicateurs de plus haute fidélité basés sur des attributs qui sont plus haut sur la Pyramid of Pain et sont moins susceptibles d'être facilement échangés par les attaquants.

Observables, Indicateurs et Infrastructure dans OpenCTI

« Example.com » est observé dans les journaux de trafic réseau d'une organisation, apparaissant initialement légitime. Le domaine est ajouté comme Observable dans OpenCTI. Après une analyse plus approfondie par l'équipe de sécurité, le domaine s'est révélé avoir des connexions avec un domaine de phishing connu, « Malicious-example.com », lié à un acteur malveillant signalé. Après avoir créé un Observable pour « Malicious-example.com », l'équipe de sécurité crée également un Indicateur pour le domaine et le lie à une entité Infrastructure, qui aidera désormais à détecter et bloquer d'autres activités malveillantes.

Ces relations sont capturées dans OpenCTI (STIX) en utilisant des relations explicites telles que related-to, communicates-with et uses, permettant aux analystes de cartographier et de corréler systématiquement les cybermenaces. En tirant parti de ces interconnexions, une équipe peut efficacement exploiter les Observables, Indicateurs et Infrastructure pour construire une threat intelligence plus robuste, générer des détections efficaces et perturber de manière proactive les opérations adverses.

Conclusion

Les Observables, Indicateurs et Infrastructure jouent chacun des rôles distincts en cybersécurité. Les Observables agissent comme des données brutes, les Indicateurs fournissent de l'intelligence actionnable, et l'Infrastructure représente les actifs opérationnels des attaquants. En comprenant ces concepts et en les exploitant efficacement, vous et votre équipe pouvez améliorer les efforts de détection, de réponse et d'atténuation, renforçant ainsi la posture de sécurité globale de votre organisation.

Cet article a été rendu possible grâce à la collaboration au sein de notre canal Slack Women in CTI. Pour rejoindre et participer à la conversation, cliquez ici.

À propos de Morgan Demboski

Morgan est Threat Intelligence Analyst pour l'équipe Managed Detection and Response (MDR) de Sophos, où ses domaines de spécialisation incluent la cyber intelligence tactique, l'enrichissement de données et la surveillance des menaces émergentes. Titulaire d'un Master en Intelligence and Security Studies, ses centres d'intérêt s'étendent au-delà du domaine cyber pour inclure la géopolitique et la sécurité internationale. Dans ses rôles précédents, Morgan a travaillé dans le domaine du Network Detection and Response (NDR), où elle s'est concentrée sur le suivi des modèles d'attaque, l'analyse de l'infrastructure command-and-control et le reporting de recherche sur les menaces.