Renseignement sur la menace (CTI)
threat intelligence · CTI · cyber threat intelligence · renseignement cyber · veille sur la menace · TLP
Information collectée et analysée sur les attaquants (qui ils sont, ce qu’ils visent, comment ils opèrent) pour orienter les décisions de défense.
En pratique
On distingue trois niveaux : stratégique (tendances et menaces d’un secteur, utile à la direction), opérationnel (modes opératoires des groupes, leurs tactiques et techniques) et technique (indicateurs de compromission à intégrer aux outils). Les sources vont des bulletins publics, comme ceux du CERT-FR ou le panorama annuel de l’ENISA, aux flux commerciaux et aux communautés de partage. Le protocole TLP (Traffic Light Protocol) indique avec qui une information peut être partagée.
Cas fictif : la veille d’un groupe hospitalier signale qu’un groupe de rançongiciel exploite une faille de VPN contre des hôpitaux européens. L’équipe vérifie ses propres équipements le jour même, applique le correctif et recherche dans ses journaux les indicateurs publiés.
