La cyber threat intelligence (CTI), ou renseignement sur la menace, désigne la collecte, l’analyse et le partage d’informations sur les attaquants : leurs intentions et leurs capacités, mais aussi leurs modes opératoires et les traces techniques qu’ils laissent. Elle transforme des données brutes et dispersées en connaissance exploitable, destinée à orienter les décisions de défense d’une organisation.
Un même renseignement, plusieurs niveaux de lecture
Le terme recouvre des productions très différentes selon leur destinataire. L’analyse stratégique s’adresse aux dirigeants et aux comités des risques : elle décrit des tendances de fond — ciblage d’un secteur, motivations et capacités des groupes d’attaquants, effets d’un contexte géopolitique — sans entrer dans le détail technique. L’ENISA publie régulièrement un panorama de la menace dans ce registre ; ce type de synthèse nourrit l’appréciation du risque cyber et les arbitrages qui en découlent.
Les équipes de sécurité consomment un renseignement plus opérationnel, centré sur les modes opératoires : chaîne d’infection d’une campagne en cours, techniques de déplacement latéral, outils privilégiés par tel groupe. Les rapports publics consacrés à des acteurs étatiques, à l’image de ceux qui ont documenté le groupe APT1, relèvent de cette catégorie : ils décrivent des façons de faire davantage que des empreintes précises.
Au niveau le plus granulaire, le renseignement technique se compose d’indicateurs bruts, consommés le plus souvent machine à machine par les outils de détection.
D’où proviennent les informations
Les sources ouvertes forment le socle : rapports publics d’éditeurs de sécurité et travaux de chercheurs, auxquels s’ajoutent les comptes rendus d’incidents. En France, les avis et alertes du CERT-FR, rattaché à l’ANSSI, signalent les vulnérabilités critiques et les campagnes d’attaque en cours ; leur suivi constitue souvent la première brique d’un dispositif de veille.
Des flux commerciaux spécialisés complètent ce paysage avec des indicateurs mis à jour en continu et des analyses consacrées à des acteurs précis. La surveillance des espaces criminels, notamment le dark web où circulent identifiants volés et accès à vendre, intéresse particulièrement les établissements financiers, dont les données clients se monnaient sur ces places de marché.
Le partage entre pairs occupe une place à part. Des communautés internationales comme le FIRST, qui fédère les équipes de réponse à incident, et des groupes de place sectoriels permettent d’échanger ce qu’aucune source publique ne fournit : un établissement attaqué décrit à ses homologues ce qu’il a observé, parfois avant toute publication. Ces échanges reposent sur des règles de rediffusion explicites, comme le protocole TLP.
Indicateurs, standards et plateformes
Un indicateur de compromission (IoC) est une trace observable associée à une activité malveillante connue. Quelques familles reviennent constamment :
- adresses IP et noms de domaine liés à l’infrastructure d’attaque ;
- condensats (hashes) de fichiers malveillants ;
- URL de pages de hameçonnage, expéditeurs ou objets de courriels frauduleux ;
- artefacts laissés sur les systèmes, comme des clés de registre ou des noms de fichiers caractéristiques.
Ces éléments n’ont pas tous la même valeur défensive : une adresse IP se remplace en quelques minutes, alors qu’un mode opératoire complet demande à l’attaquant un réel effort de réoutillage. Pour échanger ces données de façon structurée, le secteur s’appuie sur STIX, qui décrit les menaces dans un format commun, et TAXII, qui en normalise le transport, deux standards maintenus par le consortium OASIS. Des plateformes de partage comme MISP, un logiciel libre, servent à stocker et corréler les indicateurs avant de les rediffuser au sein d’une communauté ; la matrice MITRE ATT&CK fournit de son côté un vocabulaire partagé pour décrire tactiques et techniques.
Ce que la CTI change au quotidien
L’usage le plus direct concerne la détection. Importés dans le SIEM et les sondes réseau, les indicateurs permettent au SOC de reconnaître une infrastructure d’attaque déjà documentée et de lever des alertes plus tôt dans la chaîne d’intrusion. Certaines organisations regroupent analystes CTI, détection et réponse au sein d’un cyber fusion center afin de raccourcir le trajet entre le renseignement et l’action.
La connaissance de la menace aide aussi à ordonner les correctifs. Entre deux vulnérabilités de gravité comparable, celle dont l’exploitation active est documentée passe en tête de file ; les alertes du CERT-FR jouent précisément ce rôle de signal.
Le renseignement alimente enfin les exercices offensifs. Les tests d’intrusion fondés sur la menace (TLPT) construisent leurs scénarios à partir du renseignement disponible sur les attaquants plausibles de l’entité testée ; le règlement DORA prévoit ce type de test pour certaines entités financières, selon des modalités proches du cadre TIBER-EU. La même logique irrigue la gestion des risques : un référentiel de scénarios de risques cyber reste pertinent tant qu’il reflète les attaques réellement observées. Les équipes de réponse, CSIRT et CERT, s’en servent en amont pour préparer leurs procédures et, pendant un incident, pour situer ce qu’elles observent par rapport à des campagnes connues.
Les limites de l’exercice
Un flux d’indicateurs mal maîtrisé finit par nuire à la détection. Les indicateurs techniques sont périssables : les infrastructures d’attaque se recyclent vite, et un marqueur obsolète continue de déclencher des alertes sans plus rien détecter d’utile. Les faux positifs suivent la même pente — une adresse autrefois malveillante peut héberger, quelques mois plus tard, un service parfaitement légitime.
La contextualisation demande, elle, un travail continu : un renseignement n’a de valeur que rapporté au périmètre de l’organisation — technologies réellement présentes dans le système d’information, secteur d’activité, implantation géographique. Une équipe qui trie et met à jour ses indicateurs en fonction de ce contexte tire ainsi plus de valeur d’un nombre restreint de sources bien choisies que d’une accumulation de flux jamais filtrés.
Questions fréquentes sur la threat intelligence
Quelle différence entre threat intelligence et simple veille ?
La veille agrège des informations publiées, sans traitement particulier. Le renseignement sur la menace ajoute une étape d’analyse : les sources sont recoupées et leur fiabilité évaluée, puis l’information est mise en perspective avec le périmètre de l’organisation. Cette qualification rend l’information directement utilisable par un analyste ou par un outil de détection.
Faut-il des flux payants pour démarrer une démarche de CTI ?
Une première capacité peut se structurer avec des ressources gratuites : bulletins du CERT-FR, publications de l’ENISA, rapports d’éditeurs en accès libre, instance MISP alimentée par une communauté de partage. Les abonnements commerciaux apportent surtout de la fraîcheur et une couverture d’acteurs ciblant un secteur donné, un complément qui se justifie quand la maturité du dispositif progresse.
Qu’est-ce que le protocole TLP ?
Le Traffic Light Protocol, dont la spécification est publiée par le FIRST, associe à chaque information partagée une couleur qui définit qui peut la rediffuser, depuis une diffusion strictement limitée aux destinataires désignés jusqu’à une publication libre. Ce marquage donne aux communautés d’échange un cadre simple pour partager des éléments sensibles sans crainte de fuite.
La CTI permet-elle d’attribuer une attaque à son auteur ?
Rarement avec certitude. Le recoupement d’outils, d’infrastructures et de modes opératoires permet de rattacher une intrusion à un ensemble d’activités suivi sous un nom de groupe, mais l’attribution formelle à un État ou à une organisation demande un travail long, mêlant sources techniques et non techniques, que peu d’acteurs privés mènent seuls.
