Threat Intelligence (Renseignement sur les Menaces)

La Threat Intelligence (TI) est la collecte, l’analyse et la contextualisation d’informations sur les menaces cybernétiques pour permettre des décisions défensives éclairées. Ce n’est pas une simple liste d’IOCs — c’est de la connaissance exploitable sur les adversaires.

Niveaux de Threat Intelligence§

IOCs (Indicators of Compromise)§

Les IOCs sont des artefacts observables indiquant une compromission probable.

Types d’IOCs§

Pyramide de la douleur (Pyramid of Pain)§

Concept de David Bianco : plus un IOC est difficile à modifier pour l’attaquant, plus son blocage lui est douloureux.

TTPs          ←← Très difficile à changer (comportements fondamentaux)
Outils        ←← Difficile
Artefacts réseau / hôte
Noms de domaine
Adresses IP
Hashes de fichiers ←← Trivial à changer

Bloquer un hash est inutile (l’attaquant recompile). Détecter les TTPs (techniques de l’adversaire) est beaucoup plus efficace.

MITRE ATT&CK§

ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) est une base de connaissances des comportements d’attaquants observés dans des environnements réels.

Structure :

• Tactiques (14) : l’objectif de l’attaquant (Initial Access, Execution, Persistence…)
• Techniques (~200) : comment atteindre l’objectif
• Sous-techniques (~400) : variations spécifiques
• Procédures : exemples d’utilisation par des groupes réels

Tactiques Enterprise (ordre chronologique d’une intrusion)§

Utilisation d’ATT&CK en défense§

1. Cartographier sa couverture de détection
   → Pour chaque technique, quelle règle/outil détecte ?
   → Visualiser avec ATT&CK Navigator (https://mitre-attack.github.io/attack-navigator/)

2. Prioritiser les lacunes
   → Quelles techniques sont utilisées par les groupes ciblant votre secteur ?
   → Mapper les TTPs des groupes APT à votre surface d'attaque

3. Valider les contrôles
   → Atomic Red Team : tests unitaires de détection par technique ATT&CK
   → Caldera : simulation d'adversaires automatisée

Sources de Threat Intelligence§

Open Source (OSINT-TI)§

Commerciales§

• Recorded Future — intelligence en temps réel sur le dark web
• CrowdStrike Falcon Intel — profils d’acteurs APT
• Mandiant Advantage — rapports d’incidents et profils de groupes
• ESET Threat Intelligence — malware research

Acteurs de menace (Threat Actors)§

Classification§

Groupes notables (nomenclature Mandiant / MITRE)§

Formats et partage de TI§

STIX 2.1 (Structured Threat Information Expression)§

Format JSON standardisé pour représenter des objets TI :

{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8e2e2d2b-17d4-4cbf-938f-98129880a42c",
  "name": "Malicious URL",
  "pattern": "[url:value = 'https://evil.com/payload']",
  "pattern_type": "stix",
  "valid_from": "2024-01-15T00:00:00Z",
  "labels": ["malicious-activity"],
  "kill_chain_phases": [{
    "kill_chain_name": "mitre-attack",
    "phase_name": "command-and-control"
  }]
}

TAXII (Trusted Automated eXchange of Intelligence Information)§

Protocole HTTP pour échanger des collections STIX entre plateformes TI.

MISP (Malware Information Sharing Platform)§

Plateforme open source de partage d’IOCs. Les événements MISP contiennent des attributs (IOCs), des tags (taxonomies TLP), et des corrélations automatiques.

TLP (Traffic Light Protocol) — niveau de diffusion :

Cycle de vie du renseignement§

1. Direction  → définir les besoins (Key Intelligence Requirements)
2. Collecte   → sources OSINT, HUMINT, SIGINT, dark web
3. Traitement → normalisation, déduplication, enrichissement
4. Analyse    → contextualisation, attribution, prédiction
5. Diffusion  → rapport, feed SIEM, IOCs dans les outils
6. Feedback   → évaluation de la pertinence, ajustement