Threat Intelligence

01 — DéfinitionQu'est-ce que la Threat Intelligence ?

La Threat Intelligence (Cyber Threat Intelligence, ou CTI) est la discipline qui consiste à collecter, analyser et diffuser des informations sur les acteurs de menace, les campagnes d'attaque, les vulnérabilités exploitées et les indicateurs techniques, afin d'aider les organisations à anticiper et contrer les attaques cyber.

L'objectif n'est pas d'accumuler des données pour leur propre valeur mais de produire du renseignement actionnable qui améliore les décisions à différents niveaux — stratégiques (direction générale), tactiques (équipes sécurité), opérationnelles (SOC), techniques (outils de détection).

La CTI s'inspire directement des disciplines classiques du renseignement militaire et policier, adaptées au domaine cyber. Elle applique le cycle du renseignement en 6 étapes :

1. Direction : définition des questions auxquelles le renseignement doit répondre.
2. Collecte : recueil des données brutes depuis des sources variées.
3. Traitement : normalisation, déduplication, enrichissement.
4. Analyse : production de conclusions, corrélation, contextualisation.
5. Diffusion : communication adaptée au destinataire.
6. Retour : évaluation de l'utilité, ajustement des besoins.

Une CTI mature se distingue par la qualité de son analyse. La simple collecte de flux techniques, sans traitement, ne produit pas de renseignement utile — c'est souvent là que les organisations sous-estiment la discipline.

La threat intelligence n'est pas une liste d'indicateurs à bloquer. C'est d'abord une compréhension de qui vous attaque, comment et pourquoi — puis l'utilisation concrète de cette compréhension dans vos défenses.

02 — NiveauxLes quatre niveaux de renseignement

1. CTI stratégique

Destinataires : direction générale, RSSI, comité exécutif, conseil d'administration. Questions traitées : quels sont les grands risques cyber pour notre secteur ? Qui sont les principaux acteurs de menace qui nous visent ? Quelles tendances majeures doivent orienter notre stratégie ?

Livrables : rapports annuels ou semestriels, briefings exécutifs, synthèses pour conseil d'administration. Horizon temporel : 6 mois à plusieurs années.

2. CTI opérationnel

Destinataires : responsables sécurité, chefs de SOC, responsables gestion des risques. Questions traitées : quelles campagnes actives ciblent notre secteur en ce moment ? Quels groupes opèrent et avec quelles motivations ? Quelles vulnérabilités sont activement exploitées ?

Livrables : notes d'alerte, rapports de campagne, bulletins mensuels. Horizon temporel : semaines à mois.

3. CTI tactique

Destinataires : analystes SOC, équipes de détection, équipes de threat hunting. Questions traitées : quelles TTP utilisent les attaquants actifs ? Comment détecter ces TTP dans notre environnement ? Où concentrer le threat hunting cette semaine ?

Livrables : rapports techniques détaillés, règles Sigma, règles YARA, playbooks de réponse, mapping MITRE ATT&CK. Horizon temporel : jours à semaines.

4. CTI technique (indicateurs)

Destinataires : outils de sécurité automatisés, analystes SOC niveau 1, ingénieurs de détection. Contenu : IP, domaines, hashes, URL, signatures de malware, règles de détection atomiques.

Livrables : flux automatisés via API ou standards STIX/TAXII, intégrés en temps réel dans les outils (SIEM, EDR, XDR, pare-feu). Horizon temporel : minutes à jours — obsolescence rapide.

Complémentarité indispensable

Une erreur classique : ne faire que du niveau technique (consommer des flux IOC) en pensant « faire de la CTI ». Sans les niveaux stratégique et tactique, les IOC sont une défense réactive et peu efficace. Les organisations matures couvrent les quatre niveaux avec des équipes, des processus et des livrables adaptés à chacun.

03 — ConceptsIOC, TTP et Pyramid of Pain

Les IOC — Indicateurs de compromission

Les IOC sont des artefacts techniques observables qui suggèrent qu'une machine ou un réseau a été compromis. Exemples :

• Adresses IP de serveurs de commande et contrôle.
• Noms de domaine utilisés pour héberger du malware.
• URL complètes de pages de phishing.
• Hashes de fichiers (MD5, SHA1, SHA256) de malwares connus.
• Signatures d'emails : sujets, expéditeurs, patterns.
• Certificats utilisés par les attaquants.
• Clés de registre créées par des malwares.

Les IOC sont faciles à partager et à consommer mais ont une durée de vie courte. Un attaquant peut facilement changer d'IP, de domaine, modifier son malware pour changer de hash. Bloquer des IOC est utile mais insuffisant.

Les TTP — Tactics, Techniques and Procedures

Les TTP décrivent comment les attaquants opèrent, à trois niveaux :

• Tactiques : le « quoi » — les objectifs d'une phase d'attaque (obtenir l'accès initial, maintenir la persistance, exfiltrer des données).
• Techniques : le « comment » — les méthodes utilisées (phishing, exploit de vulnérabilité, création de tâches planifiées).
• Procédures : le « comment précisément » — les implémentations concrètes, outils spécifiques, séquences d'actions propres à un groupe donné.

Les TTP ont une durée de vie longue. Un groupe ransomware qui utilise systématiquement Cobalt Strike, AnyDesk et des tâches planifiées pour la persistance aura du mal à changer radicalement sa méthode du jour au lendemain. Détecter et bloquer les TTP est donc plus durable que bloquer les IOC.

Pyramid of Pain

Concept popularisé par David Bianco en 2013. Il classe les différents indicateurs selon la douleur qu'ils causent à l'attaquant quand on les bloque, du bas vers le haut :

1. Hash de fichiers : trivial à changer (recompilation).
2. Adresses IP : facile à changer (nouveau VPS).
3. Noms de domaine : un peu plus coûteux.
4. Artéfacts hôtes / réseau : patterns structurels, plus difficiles à modifier.
5. Outils : changer d'outil demande un investissement (Cobalt Strike vs Sliver vs Brute Ratel).
6. TTP : sommet de la pyramide — changer de méthodologie demande de réécrire les procédures complètes du groupe.

La conclusion est contre-intuitive : plus l'indicateur est fragile et facile à changer pour l'attaquant, plus il est facile à collecter côté défense — et inversement. Les organisations matures investissent dans les niveaux hauts de la pyramide (détection comportementale, chasse TTP) même si c'est plus difficile.

04 — MITRE ATT&CKLe référentiel structurant

Qu'est-ce que MITRE ATT&CK ?

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) est un framework public et gratuit publié par l'organisation MITRE Corporation depuis 2013. Il catalogue de manière structurée les tactiques et techniques utilisées par les attaquants, basées sur l'observation d'attaques réelles.

Devenu en une décennie la référence mondiale pour structurer la threat intelligence, cartographier les défenses et communiquer entre équipes. Adopté par tous les grands acteurs du secteur (éditeurs, CERT nationaux, SOC).

Structure du framework

ATT&CK est organisé en 14 tactiques pour la version Enterprise, présentées sous forme de matrice :

1. Reconnaissance : collecte d'informations avant l'attaque.
2. Resource Development : préparation de l'infrastructure.
3. Initial Access : première pénétration.
4. Execution : exécution de code malveillant.
5. Persistence : maintien de l'accès.
6. Privilege Escalation : élévation des droits.
7. Defense Evasion : contournement des défenses.
8. Credential Access : vol d'identifiants.
9. Discovery : exploration de l'environnement.
10. Lateral Movement : déplacement latéral.
11. Collection : collecte des données cibles.
12. Command and Control : communication avec l'infrastructure d'attaque.
13. Exfiltration : sortie des données.
14. Impact : action finale (chiffrement, destruction, manipulation).

Chaque tactique contient plusieurs techniques et sous-techniques détaillées, pour un total de plus de 600 entrées dans la version Enterprise 2026.

Variantes du framework

• ATT&CK for Enterprise : la matrice principale, pour les environnements Windows, Linux, macOS, cloud, réseau.
• ATT&CK for Mobile : spécifique iOS et Android.
• ATT&CK for ICS : environnements industriels et systèmes de contrôle.
• ATT&CK for Cloud : fusionné dans Enterprise avec des matrices spécifiques AWS, Azure, GCP, SaaS.

Usages concrets en entreprise

• Cartographie des capacités de détection : pour chaque technique ATT&CK, évaluer : est-ce qu'on la détecte ? Comment ? Cette cartographie révèle les angles morts.
• Priorisation des investissements : les MITRE ATT&CK Evaluations publient chaque année des données comparatives utiles pour choisir une solution EDR/XDR.
• Rédaction de rapports : toute intelligence sur un groupe peut être structurée par tactique et technique, ce qui rend la lecture rapide et la comparaison possible.
• Threat hunting : partir d'une technique risquée et rechercher des traces dans ses logs.
• Exercices Red Team / Purple Team : concevoir des scénarios d'attaque en listant explicitement les techniques ATT&CK utilisées.

Autres frameworks complémentaires

• Cyber Kill Chain (Lockheed Martin, 2011) : prédécesseur plus simple d'ATT&CK, 7 phases.
• Diamond Model : modèle d'analyse d'intrusion avec 4 axes (adversaire, capacité, infrastructure, victime).
• VERIS : framework de classification des incidents utilisé pour le Verizon DBIR.
• MITRE D3FEND : complément défensif d'ATT&CK, catalogue des contre-mesures.
• MITRE ENGAGE : framework de deception et d'opérations actives.

05 — SourcesOù trouver du renseignement

Sources publiques françaises

• CERT-FR (ANSSI) : bulletins d'alerte, publications, rapports de menace. Référence nationale.
• ANSSI : rapports annuels sur la menace, panoramas cyber, guides sectoriels.
• Cybermalveillance.gouv.fr : focus grand public et TPE/PME, bulletins fréquents.
• CERT sectoriels : CERT-Santé, CERT-EDU, CERT-Industrie.
• CLUSIF : publications et panoramas annuels.

Sources publiques européennes et internationales

• ENISA : agence européenne, rapports Threat Landscape annuels.
• CERT-EU : spécifique aux institutions européennes.
• CISA (États-Unis) : alertes, joint advisories, très actif.
• NCSC (Royaume-Uni), BSI (Allemagne) : publications et analyses.
• JPCERT, KrCERT, CERT-AU : CERT nationaux d'autres pays.

Communautés et OSINT

• AlienVault OTX (désormais LevelBlue OTX) : plateforme ouverte de partage d'IOC, gratuite.
• Abuse.ch : URLhaus, MalwareBazaar, ThreatFox, ensemble de bases gratuites.
• MISP : plateforme de partage communautaire, instances publiques et privées.
• VirusTotal Intelligence : version avancée payante.
• GitHub : nombreux dépôts communautaires de règles, d'IOC, de signatures.
• Réseaux sociaux : communauté infosec active, publications en temps réel de chercheurs.

Éditeurs commerciaux — leaders

• Recorded Future : leader mondial, couverture très large, forte analyse.
• Mandiant (Google Cloud) : référence sur les groupes avancés et APT.
• CrowdStrike Falcon Intelligence : intégré à la plateforme CrowdStrike.
• Microsoft Threat Intelligence (Defender TI) : issu de RiskIQ.

Éditeurs spécialisés

• Flashpoint : dark web, fraude, intelligence criminelle.
• Intel471 : underground forums, marchés criminels.
• Group-IB : historiquement forte visibilité Europe de l'Est.
• ReliaQuest (ex-Digital Shadows) : brand protection, exposition externe.
• Kaspersky TI : offre restrictionnée en contexte OTAN.

Acteurs français et européens

• Sekoia : XDR + CTI intégrés, forte présence francophone.
• HarfangLab : EDR français avec composante CTI.
• Filigran : éditeur de l'OpenCTI, plateforme open source de référence en Europe.
• Orange Cyberdefense, Thales, Atos/Eviden : services managés incluant CTI.

Formats et standards

• STIX 2.1 : format standardisé de représentation des menaces, JSON structuré.
• TAXII 2.1 : protocole d'échange de CTI via HTTPS.
• MISP format : format MISP, interopérable avec STIX.
• Sigma : règles de détection standardisées, portables entre SIEM.
• YARA : règles de détection de malwares par pattern.

06 — UsagesComment utiliser la CTI en pratique

Enrichissement des outils de détection

Usage le plus courant. Les flux d'IOC sont intégrés automatiquement dans le SIEM, le XDR, les pare-feu, les passerelles email, les DNS filtrants. Le volume des flux nécessite une qualification : tous les indicateurs ne sont pas fiables ni pertinents. Une plateforme CTI intermédiaire qui déduplique, score et contextualise avant intégration dans les outils opérationnels est une bonne pratique.

Threat hunting proactif

Partir d'hypothèses basées sur le renseignement pour chercher des compromissions non détectées par les outils automatisés. Exemple : « Le groupe X vise notre secteur et utilise la technique T1218. » → Recherche de traces de T1218 dans nos logs des 30 derniers jours.

Priorisation du patch management

La CTI indique quelles vulnérabilités sont activement exploitées (in the wild) et par qui. Le catalogue CISA KEV (Known Exploited Vulnerabilities) est une référence publique gratuite. Combiner ce catalogue avec le CVSS et le renseignement sur l'exposition de vos actifs permet une priorisation très supérieure au « tout critique » classique.

Modélisation des adversaires

Constituer des fiches structurées sur les groupes qui ciblent votre secteur : motivations (étatique, criminel, hacktiviste), cibles habituelles, TTP préférées, infrastructure connue, incidents récents. Ces fiches alimentent la stratégie, les scénarios de test, les règles de détection.

Test et amélioration continue

• Concevoir des scénarios Red Team / Purple Team réalistes.
• Construire des exercices de crise cyber fidèles aux menaces réelles.
• Mesurer l'efficacité de la détection contre des techniques spécifiques.
• Alimenter la formation des analystes SOC avec des cas réels.

Réponse à incident accélérée

Lors d'un incident réel, la CTI permet d'identifier rapidement le groupe probable (attribution), d'anticiper les étapes suivantes de l'attaque d'après les TTP connues, de repérer d'autres points de compromission potentiels et de partager du renseignement avec le CERT sectoriel ou national.

Support aux décisions stratégiques

La CTI stratégique informe les choix d'architecture (menaces majeures à contrer en priorité), les investissements, les discussions avec la direction, le dimensionnement de la cyber-assurance, et la conformité NIS2 et DORA qui exigent une analyse des menaces documentée.

07 — Mise en placeDémarche pragmatique

08 — FAQQuestions fréquentes

Faut-il une équipe CTI dédiée ?

Pour les grandes entreprises et secteurs critiques, oui : 2 à 10 ETP selon la taille. Pour une ETI, une fonction partielle portée par le SOC ou le RSSI est un bon début (0,5 à 1 ETP). Pour une PME, l'externalisation via un MSSP ou l'exploitation de sources gratuites qualifiées est généralement suffisante. L'important est d'avoir un processus, même léger, plutôt qu'un investissement lourd mal absorbé.

Les flux gratuits suffisent-ils ?

Pour démarrer, oui souvent. Les sources publiques de qualité (CERT-FR, ANSSI, CISA, ENISA, abuse.ch, AlienVault OTX) couvrent l'essentiel des menaces mainstream. Les offres commerciales apportent une valeur sur : la profondeur d'analyse, la détection précoce des campagnes, le renseignement sur les groupes avancés, le dark web et les forums criminels. Le ROI des offres commerciales est plus évident pour les grandes organisations et les secteurs ciblés.

Comment éviter de noyer les analystes ?

Le principal piège de la CTI : trop de données, pas assez d'actionnable. Bonnes pratiques : définir des PIR (Priority Intelligence Requirements) précis, qualifier les indicateurs avant intégration, prioriser les sources pertinentes pour votre secteur, automatiser le traitement des données bruitées, réserver l'attention humaine aux analyses à forte valeur ajoutée.

L'attribution à un groupe d'attaquants est-elle fiable ?

Avec prudence. L'attribution est un exercice difficile et rarement certain à 100%. Les TTP peuvent être copiées, les infrastructures partagées, les fausses pistes volontairement laissées. Les attributions publiques sont souvent accompagnées de niveaux de confiance (high, medium, low). Pour un usage interne, se concentrer sur les TTP et le comportement plutôt que sur le nom du groupe produit généralement plus de valeur défensive.

Comment CTI s'articule avec NIS2 et DORA ?

Les deux textes exigent explicitement une analyse des risques cyber documentée et régulièrement mise à jour. La CTI est l'entrée principale de cette analyse : qui nous menace, comment, avec quelle probabilité, quel impact. Les autorités de contrôle (ANSSI, ACPR, AMF) s'attendent à voir une démarche CTI structurée chez les entités soumises. Pour DORA en particulier, la CTI alimente aussi les scénarios TLPT des entités significatives.