Threat Intelligence Explained

Dans sa forme la plus simple, « les renseignements sur les menaces sont des informations qu'une organisation utilise pour comprendre les menaces qui la ciblent actuellement ou qui pourraient la cibler à l'avenir ». Ces connaissances peuvent aider les équipes de sécurité à développer de meilleures défenses, à atténuer les cyberrisques et à surveiller leurs réseaux pour détecter tout signe de compromission, afin que les équipes puissent éliminer les acteurs malveillants le plus rapidement possible.

Le renseignement sur les menaces vise à fournir des informations sur des menaces plus sophistiquées, telles que les menaces persistantes avancées (APT), les vulnérabilités de type « jour zéro » et les campagnes mondiales de malwares. Cela aidera l'organisation à comprendre qui les attaque (ou pourrait les attaquer), pourquoi ils le font et quelles tactiques ils utilisent afin de pouvoir les reproduire lors de tests d'intrusion et d'engagements en équipe rouge, ou de mesures défensives mises en place pour arrêter ou ralentir les attaquants.

Les informations réelles sont généralement partagées sous la forme d'indicateurs de compromission (IOC), qui sont des artefacts observés en relation avec des activités malveillantes. Il peut s'agir d'adresses e-mail qui envoient des e-mails malveillants, d'adresses IP hébergeant des sites Web qui tentent de voler les détails du compte d'un utilisateur ou d'artefacts liés à des fichiers tels que le nom de fichier d'un logiciel malveillant, la taille du fichier ou sa valeur de hachage MD5.

Nous aborderons tout ce qui précède dans les leçons à venir, afin que vous puissiez vous faire une idée de ce qu'impliquent réellement les renseignements sur les menaces.

Cycle de vie de l'intelligence

Le renseignement sur les menaces consiste à collecter des données brutes et à les transformer en informations qui ont de la valeur et peuvent réellement être utilisées. Pour y parvenir, nous pouvons suivre ce que l'on appelle le « cycle de vie des renseignements sur les menaces ». Cela peut varier en fonction de l'organisation que vous recherchez. Nous allons donc combiner les meilleurs extraits des cycles de vie présentés par Recorded Future et CrowdStrike.

1) Planification et orientation

Il s'agit de la partie la plus cruciale, car elle détermine la portée de ce projet spécifique de renseignement sur les menaces. Des objectifs doivent être fixés et les parties prenantes doivent être clairement définies. Cela permet au projet de rester sur la bonne voie et de ne pas perdre de temps ni de ressources à travailler sur des renseignements qui ne sont pas importants.

Par exemple, si une organisation reçoit des informations d'une autre entreprise qu'un groupe de pirates informatiques étranger a publié sur un forum du Dark Web en prétendant mener une cyberattaque prolongée contre l'entreprise, un programme de renseignement pourrait planifier les activités suivantes :

• Faites des recherches et apprenez-en davantage sur le groupe de piratage, notamment sur les personnes impliquées et sur leur niveau de compétence et de niveau de sophistication.
• Vérifiez votre visibilité publique afin de comprendre la surface d'attaque de l'organisation (le nombre total de moyens par lesquels les pirates informatiques peuvent s'introduire dans un réseau). Si une entreprise appliquait des correctifs complets à tous ses systèmes, sa surface d'attaque serait réduite. Toutefois, si aucun correctif n'était appliqué, les failles de sécurité seront plus nombreuses (les attaquants peuvent tirer parti).
• Découvrez les mesures les plus appropriées qui peuvent être prises pour vous défendre contre cette menace.

2) Recueil

Il s'agit de l'étape au cours de laquelle l'équipe va collecter toutes les données dont elle a besoin pour atteindre son objectif final qui est de créer des informations exploitables. Dans notre exemple, cela impliquerait de récupérer autant de messages du forum clandestin qu'ils peuvent y accéder, de toutes les informations associées aux comptes utilisateurs du forum, d'effectuer des recherches OSINT pour essayer de trouver des informations sur le groupe, et de tout ce qui, selon eux, correspond à la portée définie dans la phase 1. Les équipes de renseignement sur les menaces bien établies utilisent généralement une plateforme centralisée de renseignement sur les menaces (comme MISP celle dont nous parlerons plus loin dans ce domaine) pour stocker des indicateurs et des indicateurs de compromission provenant d'une gamme de sources de menaces publiques et privées, qui sont des listes d'informations exploitables partagées entre les organisations.

3) Traitement

Maintenant que l'équipe dispose d'une grande quantité de données, elle doit les transformer en un format clair et lisible afin qu'elles puissent être analysées, généralement par des analystes du renseignement sur les menaces humaines. Pour reprendre notre exemple, il a été mentionné que la

source de l'allégation du groupe de pirates informatiques selon laquelle une attaque avait été menée provenait d'un « forum du Dark Web » et que les acteurs étaient étrangers. Si les articles n'étaient pas rédigés en anglais, ils devraient être traduits de manière experte pour garantir que les informations exactes soient conservées. Il s'agit d'un exemple de traitement des données collectées pour en faciliter l'analyse.

4) Analyse

Cette étape implique un processus humain au cours duquel les informations traitées (issues de l'étape précédente) sont transformées en informations exploitables pouvant être utilisées. Selon les circonstances, les décisions peuvent porter sur l'opportunité d'enquêter sur une menace potentielle, sur les mesures à prendre immédiatement pour bloquer une attaque, sur la manière de renforcer les contrôles de sécurité ou sur le montant d'investissement justifié dans des ressources de sécurité supplémentaires.

Ces informations doivent être présentées de manière appropriée en fonction du public cible. Si un renseignement technique sur les menaces a été transmis à des analystes de sécurité, il peut rester technique et utiliser un jargon de sécurité. Toutefois, s'il s'agit d'un élément plus stratégique présenté à un public généralement non technique, tel que les membres du conseil d'administration, il doit être plus simple et ne pas utiliser de jargon, en mettant l'accent sur l'impact de ces informations sur l'entreprise en tenant compte de facteurs tels que l'argent et la réputation.

5) Diffusion

La diffusion consiste à acheminer le renseignement final aux endroits où il doit être acheminé. Il peut s'agir d'un SOC ou d'un analyste de sécurité, d'autres analystes du renseignement sur les menaces et même du conseil d'administration (pour des informations stratégiques de haut niveau, qui peuvent être utilisées pour éclairer les budgets de sécurité et la prise de décisions).

Pour chacun de ces publics, vous devez vous poser les questions suivantes :

• De quels renseignements sur les menaces ont-ils besoin et comment les informations externes peuvent-elles étayer leurs activités ?
• Comment les renseignements doivent-ils être présentés pour les rendre facilement compréhensibles et exploitables pour ce public ?
• À quelle fréquence devons-nous fournir des mises à jour et d'autres informations ?
• Par quels médias les renseignements doivent-ils être diffusés ?
• Comment devons-nous assurer le suivi s'ils ont des questions ?

6) Commentaires

Il est essentiel de comprendre vos priorités générales en matière de renseignement et les exigences des équipes de sécurité qui utiliseront les renseignements sur les menaces. Leurs besoins guident toutes les phases du cycle de vie du renseignement et vous indiquent :

• Quels types de données collecter
• Comment traiter et enrichir les données pour les transformer en informations utiles
• Comment analyser les informations et les présenter sous forme de renseignements exploitables
• À qui chaque type de renseignement doit être diffusé (comme indiqué au stade de la diffusion), avec quelle rapidité il doit être diffusé et avec quelle rapidité répondre aux questions

Vous avez besoin de commentaires réguliers pour vous assurer que vous comprenez les besoins de chaque groupe et pour apporter des ajustements en fonction de l'évolution de leurs exigences et de leurs priorités.

Analystes du renseignement sur les menaces

Les analystes du renseignement sur les cybermenaces possèdent des compétences que l'on ne retrouve pas dans d'autres domaines. Les analystes passent beaucoup de temps à effectuer des analyses approfondies. Ils sont donc très conscients des biais. Ils remettent tout en question, recherchent des preuves et sortent des sentiers battus. Ces rôles impliquent de nombreuses analyses techniques, des recherches et la résolution de problèmes, dans le but d'identifier les acteurs malveillants, de les suivre et de maîtriser leurs techniques et tactiques, permettant ainsi aux organisations de se préparer aux attaques et d'y répondre efficacement. Les tactiques seront mappées à des frameworks tels que la Cyber Kill Chain de Lockheed Martin ou le framework MITRE ATT&CK, tandis que les indicateurs malveillants seront comparés à la Pyramid of Pain. Nous aborderons ces trois points dans les leçons à venir. Les analystes proviennent d'horizons très divers, souvent issus des forces de police ou du personnel militaire en raison des compétences qu'ils possèdent.