Threat Intelligence

La threat intelligence est ce qui distingue une équipe de sécurité qui anticipe les attaques de celle qui se contente de nettoyer derrière elles. Tout adversaire laisse des traces : les outils qu'il développe, les techniques qu'il réutilise, l'infrastructure qu'il loue et les objectifs qu'il poursuit. La threat intelligence est la discipline qui consiste à collecter ces traces, à les analyser et à les transformer en un contexte qui éclaire de vraies décisions, depuis la prochaine détection à écrire jusqu'à l'endroit où l'entreprise doit consacrer son budget de sécurité. Sans elle, les défenseurs réagissent à l'aveugle à la moindre alerte ; avec elle, ils savent quelles menaces comptent vraiment pour eux.

Les données ne sont pas du renseignement

Une liste d'adresses IP malveillantes est une donnée. Un flux de hachages de fichiers est une donnée. Rien de tout cela ne devient du renseignement tant que quelqu'un ne l'analyse pas au regard d'une question qui compte pour un public précis. Cette analyse est le travail d'un analyste en threat intelligence, qui collecte auprès de nombreuses sources, supprime le bruit, ajoute du contexte et produit quelque chose sur quoi un défenseur peut agir.

La manière la plus utile d'organiser ce travail est de raisonner par niveaux :

Ces niveaux sont des produits différents pour des lecteurs différents. Un dirigeant n'a pas besoin d'un hachage de fichier, et un analyste qui écrit une règle de détection n'a pas besoin d'un résumé de risque destiné au conseil. Confondre les niveaux est l'une des raisons les plus courantes pour lesquelles les programmes de renseignement n'apportent pas de valeur.

Le langage commun : MITRE ATT&CK

Le renseignement tactique devient bien plus puissant lorsque tout le monde décrit le comportement de l'adversaire de la même façon. C'est le rôle de MITRE ATT&CK, une base de connaissances des tactiques et techniques observées dans le monde réel. Au lieu de notes vagues comme "l'attaquant a volé des identifiants", les équipes associent le comportement à des techniques précises (par exemple OS Credential Dumping, T1003), ce qui rend le renseignement comparable entre rapports, outils et équipes.

Collecter les sources

→enrichir

Analyser et associer à ATT&CK

→produire

Renseignement finalisé

→agir

Détecter et traquer

Une évolution notable est que les fournisseurs de technologie contribuent désormais directement à ce tableau. Anthropic, par exemple, a publié un LLM ATT&CK Navigator qui cartographiait la façon dont ses modèles étaient détournés par les attaquants, et ce renseignement a alimenté l'historique plus large du secteur, y compris le Verizon DBIR. Notre analyse sur la façon dont les attaquants militarisent l'IA explique ce que cela signifie pour les défenseurs en pratique.

De la connaissance à l'action

Le renseignement ne compte que lorsqu'il change ce que fait une équipe. Au sein d'un centre des opérations de sécurité, le renseignement tactique affine les détections et hiérarchise les alertes. Il alimente aussi le threat hunting : au lieu de fouiller les systèmes au hasard, les chasseurs s'appuient sur le renseignement relatif aux TTP connus pour regarder là où les attaquants opèrent réellement. Au niveau stratégique, cette même connaissance oriente les investissements de la direction, les contrôles à construire en premier et les risques à accepter.

La threat intelligence est le pont entre connaître son ennemi et être prêt à l'affronter. Bien collectée et associée à un langage commun, elle permet aux défenseurs de prendre l'initiative au lieu de subir.