Threat Intelligence : collecte et analyse des menaces

La Threat Intelligence désigne le processus structuré de collecte et analyse des menaces pesant sur un système d'information. Elle couvre trois niveaux distincts : stratégique (tendances macro, acteurs étatiques), opérationnel (campagnes actives, TTPs documentées) et tactique (IOC exploitables : hashs, IPs, domaines, règles YARA). Un indicateur brut n'a de valeur que contextualisé. La CTI s'appuie sur des frameworks comme MITRE ATT&CK pour classifier les comportements adverses en tactiques et techniques précises. Les sources primaires incluent les honeypots, le trafic réseau capturé, les rapports d'incident internes. Les sources secondaires regroupent les flux OSINT, les partages inter-CERT, les plateformes comme MISP ou OpenCTI. Le cycle du renseignement suit cinq étapes : orientation, collecte, traitement, analyse, dissémination. Chaque étape conditionne la qualité finale du renseignement produit. Sans processus rigoureux d'enrichissement et de corrélation, les IOC deviennent obsolètes en quelques heures. La Threat Intelligence est donc un processus continu, pas un produit livré une fois.

Côté Blue Team et SOC, l'intégration de la Threat Intelligence passe d'abord par l'alimentation automatique du SIEM en flux d'IOC structurés au format STIX/TAXII. Splunk, Elastic SIEM ou Microsoft Sentinel proposent des connecteurs natifs vers des plateformes comme MISP ou Anomali. La corrélation des IOC entrants avec les logs réseau (Zeek, Suricata) et les événements Windows (Event ID 4688 pour la création de processus, 4663 pour l'accès aux objets, 4698 pour la création de tâches planifiées) permet de détecter des TTPs documentés. Le threat hunting proactif s'appuie sur les règles Sigma converties depuis les TTPs MITRE ATT&CK. Un indicateur de compromission réseau, comme une connexion vers un domaine C2 connu, doit déclencher une alerte de haute priorité immédiate. Les équipes SOC doivent aussi surveiller les requêtes DNS anormales via des outils comme PassiveDNS ou dnstap. L'enrichissement automatique des alertes via des outils comme Cortex (TheHive) accélère le triage. Un IOC sans scoring de confiance et sans date d'expiration génère du bruit inutile. La gestion du cycle de vie des IOC est donc aussi critique que leur collecte initiale.

Côté Red Team et pentest, la Threat Intelligence alimente directement la simulation d'adversaires (adversary emulation). Les équipes Red Team utilisent les TTPs documentées dans MITRE ATT&CK pour reproduire fidèlement le comportement d'un groupe APT ciblant le secteur du client. Des outils comme VECTR ou CALDERA permettent de planifier et tracer ces simulations. L'émulation part toujours d'un profil d'acteur : groupe, secteur ciblé, TTPs privilégiées, outils utilisés (Cobalt Strike, Sliver, Brute Ratel). Les contre-mesures défensives découlent directement de cette analyse. Côté durcissement, l'exploitation de la Threat Intelligence opérationnelle permet de prioriser les patchs sur les CVE activement exploitées par des acteurs connus. Les flux de vulnérabilités enrichis (EPSS, CISA KEV) guident cette priorisation. La mise en place de règles de blocage réseau basées sur les IOC de campagnes actives réduit la surface d'exposition. Les exercices de table-top intègrent aussi des scénarios issus de rapports CTI récents pour tester la réponse à incident. La partage de renseignement via des cercles de confiance (ISACs, FIRST) améliore la détection collective. La Threat Intelligence devient ainsi un levier direct de réduction du risque opérationnel.