Qu'est-ce que la cyber threat intelligence ?

Le cycle du renseignement, étape par étape

Les équipes CTI matures suivent un cycle, généralement décrit en cinq ou six phases. Les intitulés varient selon les référentiels ; la logique, non.

1. Orientation. Décider à quelles questions vous répondez, et pour qui. Ce sont vos besoins en renseignement - par exemple : quels groupes de ransomware ciblent la santé en Europe, et lesquelles de leurs techniques fonctionneraient chez nous ?
2. Collecte. Rassembler la matière première au regard de ces besoins : sources ouvertes, flux commerciaux, communautés de partage comme les ISAC, recherche des éditeurs, et votre propre télémétrie et vos données d'incidents.
3. Traitement. Normaliser ce qui a été collecté pour pouvoir l'exploiter : dédupliquer, traduire, structurer dans un format cohérent. C'est là que STIX prend toute sa valeur.
4. Analyse. Transformer l'information traitée en jugements : qu'est-ce que cela signifie pour nous, quel est notre niveau de confiance, et qu'est-ce qui doit changer en conséquence. C'est le cœur humain de la discipline.
5. Diffusion et retour. Livrer le résultat sous la forme dont chaque public a besoin - briefing, rapport, règle de détection, indicateur bloqué - puis demander si cela a aidé. Le retour alimente l'orientation, et le cycle recommence.

Les quatre niveaux de threat intelligence

La CTI se découpe habituellement en quatre niveaux. Ce découpage compte, car chaque niveau répond à une question différente, pour un public différent, sur un horizon de temps différent.

Un piège classique : acheter du renseignement technique - des flux d'indicateurs - et en attendre des réponses stratégiques. Les indicateurs périment en quelques jours ; le pourquoi d'une attaque, non.

STIX, TAXII et MITRE ATT&CK, en langage clair

STIX (Structured Threat Information eXpression) est un format commun pour décrire les menaces - un vocabulaire partagé dans lequel acteur, campagne, indicateur et leurs relations signifient la même chose dans tous les outils. Si le renseignement est une connaissance, STIX est la grammaire dans laquelle elle s'écrit.

TAXII est le transport qui fait circuler STIX : un protocole que les plateformes utilisent pour publier des collections de renseignement et s'y abonner. STIX est la lettre ; TAXII est le service postal.

MITRE ATT&CK est un catalogue public, maintenu par la communauté, des comportements adverses : les tactiques (ce que les attaquants cherchent à obtenir) et les techniques (comment ils s'y prennent), tirées de l'observation du réel. Il donne aux défenseurs une carte commune. Au lieu de dire qu'ils ont fait quelque chose d'astucieux avec les tâches planifiées, vous dites T1053 - et chacun peut vérifier si ses détections couvrent cette technique.

Qui consomme la threat intelligence

Le renseignement n'a aucune valeur tant que personne ne s'en sert. En pratique, une fonction CTI sert des clients très différents :

• Les analystes SOC utilisent l'intel technique pour enrichir les alertes : cette IP est-elle une infrastructure connue, ce hachage un malware connu ?
• Les équipes de réponse à incident utilisent l'intel opérationnel pour comprendre à qui elles ont probablement affaire et ce que cet acteur fait généralement ensuite.
• Les ingénieurs détection et les threat hunters utilisent l'intel tactique - des TTP cartographiées sur ATT&CK - pour décider quelles détections et quelles chasses construire.
• Les équipes de gestion des vulnérabilités priorisent grâce à l'intel : parmi des milliers de CVE ouvertes, lesquelles sont réellement exploitées par des acteurs qui nous ciblent ?
• Direction et propriétaires du risque s'appuient sur l'intel stratégique pour orienter budget et posture.

À quoi ressemble vraiment l'adoption

Des attentes honnêtes aident. Les enquêtes sectorielles - l'enquête CTI annuelle du SANS est la plus citée - suivent les mêmes tendances depuis des années : la CTI est passée de discipline de niche à fonction courante, mais la maturité reste inégale.

Démarrer sans grande équipe

Pas besoin d'une équipe de threat intelligence pour commencer à en faire. Il faut trois choses : un ou deux besoins en renseignement écrits, un petit ensemble de sources que vous lisez réellement, et un endroit où structurer ce que vous apprenez pour que cela s'accumule au lieu de s'évaporer dans des favoris et des fils de discussion.

C'est sur ce dernier point qu'une plateforme de threat intelligence prend tout son sens. Des options open source comme OpenCTI permettent de stocker la connaissance en objets STIX structurés, de connecter des sources gratuites, de tout cartographier sur ATT&CK et de partager avec les outils et les personnes qui agissent. Commencez avec un besoin, un livrable hebdomadaire - même un e-mail d'une demi-page - et un consommateur qui le lit. Grandissez sur la preuve que cela aide.