En quoi consistent les renseignements sur les menaces ?

Plus que de simples informations brutes sur les menaces, les renseignements sur les menaces sont des informations corrélées et analysées pour donner aux professionnels de la sécurité une compréhension approfondie des menaces potentielles auxquelles leur organisation est confrontée, ainsi que des moyens de les arrêter.

Plus précisément, les renseignements sur les menaces présentent trois caractéristiques clés qui les distinguent des informations brutes sur les menaces :  

• Ils sont spécifiques à l’organisation : les renseignements sur les menaces vont au-delà des informations générales sur les menaces et les attaques hypothétiques. Ils se focalisent plutôt sur la situation unique de l’organisation : les vulnérabilités spécifiques de la surface d’attaque de l’organisation, les attaques que ces vulnérabilités permettent et les actifs qu’elles exposent. 

• Ils sont détaillés et contextuels : les renseignements sur les menaces ne couvrent pas seulement les menaces potentielles pour une organisation. Ils couvrent également les acteurs des menaces à l’origine des attaques, les tactiques, techniques et procédures (TTP) qu’ils emploient et les indicateurs de compromission (IOC) qui pourraient signaler une cyberattaque réussie. 

• Ils sont exploitables : les renseignements sur les menaces fournissent aux équipes de sécurité de l’information des informations qu’elles peuvent exploiter pour corriger les vulnérabilités, hiérarchiser les menaces, remédier aux risques et améliorer la posture de sécurité globale.

Selon le rapport sur le coût d’une violation de données d’IBM, une violation entraîne en moyenne un coût de 4,44 millions de dollars pour l’entreprise victime. Les coûts de détection et de remontée des incidents représentent la part la plus importante de ce montant, soit 1,47 million de dollars.

Les programmes de renseignements sur les menaces fournissent aux professionnels de la sécurité les informations nécessaires pour détecter les attaques plus rapidement, voire les arrêter complètement. Ces réponses accélérées et plus efficaces permettent de réduire les coûts de détection et de limiter considérablement l’impact des violations.

Le cycle de vie des renseignements sur les menaces est le processus itératif et continu par lequel les équipes de sécurité produisent et partagent ces renseignements. Bien que les détails puissent varier d’une organisation à l’autre, la plupart des équipes de renseignements sur les menaces suivent une version du même processus en six étapes.

Les analystes en sécurité travaillent avec les parties prenantes de l’organisation pour définir les besoins en matière de renseignements. Ces parties prenantes peuvent être des dirigeants, des chefs de service, des membres des équipes informatiques et de sécurité et toute autre personne impliquée dans la prise de décision en matière de cybersécurité.  

Les besoins en matière de renseignement sont définis par les questions que les parties prenantes se posent au sujet des menaces. Par exemple, le responsable de la sécurité des systèmes d’information (RSSI) peut vouloir savoir si une nouvelle souche de ransomware faisant la une des journaux est susceptible d’affecter l’entreprise.

L’équipe de sécurité collecte des données brutes sur les menaces pour répondre aux exigences en matière de renseignement et aux questions des parties prenantes.

Ainsi, si une équipe de sécurité enquête sur une nouvelle souche de ransomware, elle peut recueillir des informations sur le groupe de ransomware à l’origine des attaques. L’équipe peut également examiner les types d’organisations ciblées par le passé et les vecteurs d’attaque exploités pour infecter les victimes précédentes.

Ces données sur les menaces peuvent provenir de diverses sources. Voici quelques-unes des plus courantes :

Les flux de renseignements sur les menaces sont des flux d’informations sur les menaces en temps réel. Le terme peut parfois être trompeur : certains flux intègrent des renseignements déjà analysés ou traités, tandis que d’autres consistent en des données brutes. (Ces derniers sont parfois appelés flux de données sur les menaces.)

Les équipes de sécurité s’abonnent généralement à plusieurs flux open source et commerciaux fournis par divers services de renseignements sur les menaces. Différents flux peuvent couvrir différents sujets.

Par exemple, une organisation peut disposer de flux distincts pour chacun des objectifs suivants :

• Suivi des indices de compromission des attaques courantes

• Agrégation de l’actualité sur la cybersécurité

• Analyses détaillées des nouvelles souches de logiciels malveillants

• Fouille des réseaux sociaux et du dark web à la recherche de conversations sur les cybermenaces émergentes

Les communautés de partage d’informations sont des forums, des associations professionnelles et d’autres communautés où les analystes partagent entre eux des expériences de première main, des idées, des données sur les menaces et d’autres renseignements.  

Aux États-Unis, de nombreux secteurs d’infrastructures critiques (tels que les industries de la santé, des services financiers, du pétrole et du gaz) exploitent des centres de partage et d’analyse de l’information (ISAC) spécifiques à leur secteur. Ces ISAC se coordonnent entre eux par l’intermédiaire du National Council of ISACs (NSI).

À l’échelle internationale, la plateforme de renseignements open source MISP Threat Sharing prend en charge un certain nombre de communautés de partage d’informations organisées autour de différents sites, secteurs et sujets. MISP a reçu le soutien financier de l’OTAN et de l’Union européenne.

Les données issues des solutions de sécurité interne et des systèmes de détection des menaces peuvent fournir des informations précieuses sur les cybermenaces réelles et potentielles. Les sources courantes de journaux de sécurité interne comprennent :

• Les systèmes de gestion des informations et des événements liés à la sécurité (SIEM) 

• Les plateformes d’orchestration, d’automatisation et de réponse aux incidents de sécurité (SOAR)

• Les outils de détection et de réponse des terminaux (EDR)

• Les plateformes de détection et de réponse étendues (XDR)

• Les solutions de gestion de surface d’attaque (ASM) 

Les journaux de sécurité internes fournissent un enregistrement des menaces et des cyberattaques auxquelles l’organisation a été confrontée, et ils peuvent aider à révéler des preuves jusque-là méconnues de menaces internes ou externes.

Les informations provenant de ces sources disparates sont généralement agrégées dans un tableau de bord centralisé, tel qu’une solution SIEM ou une plateforme de renseignement sur les menaces, pour faciliter la gestion et automatiser le traitement.

À ce stade, les analystes de sécurité regroupent, standardisent et mettent en corrélation les données brutes qu’ils ont recueillies afin de faciliter l’analyse. Le traitement peut inclure l’application de MITRE ATT&CK ou d’un autre cadre de renseignements sur les menaces pour contextualiser les données, filtrer les faux positifs et regrouper les incidents similaires.

De nombreux outils de renseignements sur les menaces automatisent ce traitement à l’aide de l’intelligence artificielle (IA) et du machine learning pour corréler les informations sur les menaces provenant de sources multiples et identifier les tendances ou les modèles initiaux dans les données. Certaines plateformes de renseignements sur les menaces intègrent désormais des modèles d’IA générative qui peuvent aider à interpréter les données sur les menaces et à générer des marches à suivre basées sur leur analyse.

Cette analyse est le moment où les données brutes sur les menaces deviennent de véritables renseignements sur les menaces. À ce stade, les analystes en sécurité extraient les informations dont ils ont besoin pour répondre aux exigences en matière de renseignements et planifier leurs étapes suivantes.

Les analystes en sécurité peuvent ainsi découvrir que le gang lié à une nouvelle souche de ransomware a ciblé d’autres entreprises du secteur de l’organisation. Cette découverte indique que cette souche peut également représenter un problème pour elle.  

Grâce à ces informations, l’équipe peut identifier les vulnérabilités de l’infrastructure informatique de l’organisation que le gang pourrait exploiter et les contrôles de sécurité qu’elle peut mettre en place pour les atténuer.

L’équipe de sécurité partage ses conclusions et recommandations avec les parties prenantes concernées. Différentes mesures peuvent être prises sur la base de ces recommandations, telles que la mise en place de nouvelles règles de détection SIEM pour cibler les indicateurs de menace récemment identifiés, ou encore la mise à jour des pare-feux pour bloquer les adresses IP et les noms de domaine suspects.

De nombreux outils de renseignements sur les menaces intègrent et partagent des données avec des outils de sécurité tels que les SOAR, les XDR et les systèmes de gestion des vulnérabilités. Ces outils peuvent exploiter ces renseignements pour générer automatiquement des alertes en cas d’attaques actives, attribuer des scores de risque pour hiérarchiser les menaces et initier d’autres actions de réponse.

À ce stade, les parties prenantes et les analystes réfléchissent au cycle de renseignements sur les menaces le plus récent pour déterminer si les exigences ont été respectées. Toute nouvelle question qui se pose ou toute nouvelle lacune en matière de renseignement identifiée peut éclairer la prochaine étape du cycle de vie.

Les équipes de sécurité produisent et emploient différents types de renseignements, en fonction de leurs objectifs. Ceux-ci comprennent :