De 5 jours à quelques secondes : ASRG industrialise la gestion des menaces automobiles avec OpenCTI

À propos d’ASRG

L’Automotive Security Research Group (ASRG) est une organisation à but non lucratif fondée en 2016 pour faire progresser la cybersécurité dans l’industrie automobile. Avec près de 20 000 membres dans le monde, ASRG relie chercheurs et professionnels du secteur par la formation, le réseautage et des initiatives collaboratives. En tant que Certified Numbering Authority (CNA), ASRG soutient également la divulgation responsable des vulnérabilités en attribuant des identifiants CVE et en coordonnant les actions avec les parties prenantes concernées. Elle promeut une approche ascendante, portée par les contributeurs, pour construire une connaissance et des solutions de cybersécurité de confiance dans toute l’industrie.

Contexte

À mesure que les menaces gagnaient en sophistication dans l’industrie automobile, le besoin d’un écosystème de renseignement fiable et collaboratif est devenu évident. Les modèles classiques de partage de menaces IT ne répondaient pas aux défis propres à la complexité des systèmes automobiles. C’est pourquoi John Heldreth, alors chez Porsche, a lancé en 2016 ce qui allait devenir l’Automotive Security Research Group (ASRG) : « Nous avons compris que la communauté jouerait un rôle déterminant dans le succès de la cybersécurité automobile. Peu importe l’entreprise pour laquelle vous travaillez : soit vous faites partie de la solution, soit vous êtes de l’autre côté. » ASRG est rapidement devenue une initiative mondiale de plus de 20 000 membres, portée par une petite équipe permanente et des centaines de bénévoles actifs contribuant à des projets dans le monde entier.

Défis

Une interopérabilité et un partage externe limités

ASRG utilisait déjà une plateforme de CTI, mais celle-ci manquait de la flexibilité et de l’ouverture nécessaires pour organiser, contextualiser et partager l’information efficacement. Conçu pour un usage strictement interne, le système rendait difficile la construction de relations pertinentes entre objets ou l’exposition du renseignement vers l’extérieur. « Nous produisons notre propre renseignement à partir des contributions de l’industrie, mais il nous manquait un endroit pour le structurer, le canaliser et le rendre utilisable par d’autres », se souvient John Heldreth. Pour permettre la collaboration, l’équipe devait extraire manuellement les données via des API sur mesure, les reformater et les réhéberger dans des outils externes. « En général, les entreprises veulent garder l’information sur les menaces secrète ; nous avions besoin de l’inverse », ajoute John. Ce contournement créait des frictions, augmentait le risque d’erreurs et rendait l’échange d’informations en temps réel quasiment impossible.

Des coûts d’infrastructure et de maintenance élevés

Maintenir deux systèmes parallèles – l’un pour la gestion interne de la CTI, l’autre pour les tableaux de bord externes – engendrait des surcoûts importants. ASRG devait faire tourner de gros serveurs et assumer le coût d’une infrastructure redondante. Ce modèle n’était pas soutenable pour une organisation à but non lucratif aux ressources limitées.

Des workflows chronophages

L’enrichissement des données et la génération des tableaux de bord étaient des processus largement manuels, longs à mettre en place et à maintenir. « Cela demandait plus de 40 heures de travail », explique John Heldreth. Cette lenteur limitait la capacité d’ASRG à diffuser efficacement l’information et la réactivité de la plateforme face à l’évolution des menaces et aux besoins de la communauté.

Un manque de traçabilité dans les processus d’enrichissement

Lorsqu’ASRG a commencé à automatiser l’enrichissement avec des modèles d’IA, un nouveau défi est apparu : tracer l’origine et la logique de chaque donnée générée. John raconte : « Nous devions garantir la qualité des données. Chaque étape du processus d’enrichissement devait être traçable (qui a créé quoi, et pourquoi) pour que nous puissions faire confiance aux données. » Par transparence et pour les besoins d’audit, ASRG avait besoin d’une plateforme capable de préserver cette traçabilité de bout en bout à chaque étape de l’enrichissement.

Pourquoi ASRG a choisi OpenCTI de Filigran

Économique et open source par conception

Organisation à but non lucratif aux ressources limitées, ASRG avait besoin d’une plateforme capable de passer à l’échelle sans contraintes de licence ni dépendance à un fournisseur. Leur solution CTI précédente était gratuite, mais manquait de la flexibilité et de l’ouverture nécessaires à l’automatisation, à l’enrichissement et au partage communautaire. La nature open source d’OpenCTI a permis de démarrer sans barrière financière. « Au début, c’était surtout une question de coût », explique John Heldreth. OpenCTI de Filigran s’est ainsi imposé comme une excellente option pour grandir en toute sécurité et en toute indépendance.

Structuré, interopérable et fondé sur des standards ouverts

La conformité d’OpenCTI au standard STIX 2.1 a offert à ASRG un cadre clair et interopérable pour structurer le renseignement. « Si quelqu’un comprend le schéma STIX, alors il comprend OpenCTI », explique John. « Cela nous facilite la structuration des données et la construction de relations pertinentes entre objets. » STIX n’est pas parfait, mais il fournit un socle essentiel pour partager la connaissance entre cas d’usage.

Une architecture API-first pour l’automatisation et l’enrichissement

ASRG avait besoin de la liberté d’extraire, d’enrichir et de réintégrer les données selon ses propres workflows, notamment pour alimenter son pipeline d’enrichissement piloté par l’IA. Ce processus compte 32 étapes séquentielles : les données brutes sont extraites d’OpenCTI, analysées, catégorisées, reliées aux composants pertinents et mises à jour en continu avant d’être renvoyées vers la plateforme. Ce flux de bout en bout crée une boucle de données continue et bidirectionnelle. « Nous devons tout faire avec des ressources minimales, donc nous utilisons autant d’automatisation et d’intelligence artificielle que possible », explique John Heldreth. « Pouvoir orchestrer ce processus de bout en bout sans être limité par la plateforme était essentiel. » L’API robuste d’OpenCTI et ses bibliothèques Python ont donné à l’équipe un contrôle total sur les flux de données entrants et sortants.

Adoption

Le déploiement d’OpenCTI de Filigran a marqué un tournant dans les opérations d’ASRG. La plateforme a été intégrée rapidement grâce à sa conception modulaire et à son outillage accessible. En quelques semaines, ASRG avait migré ses données et commencé à centraliser son renseignement dans un environnement unifié et bien organisé.

La différence s’est faite sur la relation étroite et réactive avec l’équipe de Filigran. Via un canal Slack dédié, ASRG a pu poser ses questions, tester des idées et adapter la plateforme aux exigences propres au secteur automobile. « Nous cherchions en permanence la meilleure façon d’adapter le cas d’usage automobile à la solution existante, et c’était formidable », raconte John. « L’une des meilleures expériences d’implémentation que j’aie connues, tous logiciels confondus, surtout pour une organisation à but non lucratif avec peu de moyens. »

Comment Filigran aide ASRG

L’efficacité opérationnelle par l’automatisation

Grâce à l’outil avancé de Filigran, ASRG a atteint plus de 90 % d’automatisation sur ses workflows d’enrichissement. Les objets de renseignement, comme les vulnérabilités et les rapports, sont désormais collectés, contextualisés et redistribués avec une intervention humaine minimale. Les temps de traitement internes s’en trouvent radicalement accélérés, comme le dit le fondateur d’ASRG : « Le temps nécessaire pour enrichir un élément dans OpenCTI se compte généralement en secondes. » Un niveau d’efficacité essentiel pour étendre les capacités sans augmenter les coûts.

La confiance dans la qualité et la provenance des données

La structure en graphe d’OpenCTI a permis à ASRG d’imposer une traçabilité stricte sur plus de 1,2 million de points de données liés aux vulnérabilités. Chaque objet et chaque relation, qu’ils proviennent d’un contributeur humain ou d’un processus automatisé, sont désormais entièrement documentés et ouverts aux retours de la communauté. Cette traçabilité garantit qu’ASRG peut maintenir le niveau de confiance attendu par son écosystème mondial lorsqu’elle distribue du renseignement actionnable.

Un partage standardisé avec des partenaires fiables

Grâce à OpenCTI de Filigran, ASRG peut désormais mettre à disposition de pairs sélectionnés un renseignement qualifié en temps réel, via des API et des tableaux de bord compatibles STIX/TAXII. Cela sert son objectif de long terme : favoriser un modèle transparent et communautaire pour la cybersécurité automobile, où la connaissance circule dans les deux sens entre contributeurs et consommateurs. « Nous avons constaté le besoin d’une communauté où chacun se sent en confiance, respecté, et contribue à des résultats positifs en cybersécurité », explique John.

La suite

ASRG souhaite étendre son usage d’OpenCTI pour mieux refléter la complexité des systèmes automobiles modernes. L’une des prochaines priorités est la capacité à cartographier et suivre les actifs plus précisément, en particulier les composants matériels, les logiciels embarqués et les éléments cryptographiques. ASRG suit de près l’évolution des standards émergents de cybersécurité et des formats d’échange de vulnérabilités, et espère un alignement renforcé dans les futures versions d’OpenCTI.

« Nous espérons travailler encore plus étroitement avec l’équipe de développement pour rendre OpenCTI toujours plus pertinent pour le monde du produit », confie John.

N’hésitez pas à contacter John et ASRG si vous souhaitez travailler sur un projet de renseignement communautaire ou découvrir l’implémentation actuelle d’OpenCTI. C’est l’une des communautés de renseignement heureuses de montrer et de partager, convaincue que mieux nous connaissons l’environnement des produits automobiles, mieux nous pouvons les sécuriser.