La threat intelligence est la discipline qui consiste à étudier les adversaires, les campagnes qu'ils mènent et les méthodes qu'ils privilégient, puis à transformer cette compréhension en recommandations qui aident une organisation à se défendre. Un analyste en threat intelligence répond à des questions auxquelles de simples signaux techniques ne peuvent pas répondre : qui est susceptible de cibler cette organisation, ce qu'ils cherchent généralement à atteindre, comment ils opèrent habituellement et ce que cela implique pour les endroits où renforcer les défenses en priorité. Ce travail est important pour une carrière en sécurité car il apporte le contexte qui rend tout le reste plus réfléchi. Les règles de détection, les priorités de correctifs et les décisions des dirigeants gagnent toutes en qualité lorsqu'elles s'appuient sur une image claire des menaces pertinentes plutôt que sur la seule réaction.
La pratique est souvent décrite selon trois niveaux qui structurent le travail au quotidien. Le renseignement stratégique s'intéresse aux tendances de long terme, aux motivations et aux facteurs géopolitiques, et il s'adresse à la direction à propos du risque. Le renseignement opérationnel suit des campagnes spécifiques et les groupes qui les mènent, en observant l'évolution de leur comportement au fil du temps. Le renseignement tactique concerne les détails techniques concrets et souvent éphémères, comme les indicateurs liés à une intrusion particulière, sur lesquels les défenseurs et les ingénieurs en détection peuvent agir rapidement. Un programme mature produit les trois et sait quel public chacun d'eux sert.
Au quotidien, un analyste recueille des informations à partir d'une grande variété de sources, parmi lesquelles la télémétrie interne, des flux commerciaux et ouverts, des communautés de partage d'information et des rapports sur des groupes d'adversaires connus. La compétence centrale est l'analyse plutôt que la collecte : évaluer la fiabilité des sources, distinguer le fait avéré de l'appréciation, rattacher le comportement observé à des cadres reconnus et énoncer ses conclusions avec un sens honnête du degré de confiance. Le produit du travail est un livrable, généralement une évaluation écrite, une note de synthèse ou un ensemble structuré d'indicateurs, qui atteint un public précis et répond à une question définie. Parce que ce livrable n'a de valeur que lorsque les gens s'en servent, une écriture claire et une communication bien pensée sont aussi importantes que la profondeur technique.
Le rôle exige de la rigueur analytique, de la curiosité et de solides capacités de rédaction, appuyées par une connaissance pratique de la manière dont les réseaux, les systèmes et les comportements d'attaque courants s'articulent. La familiarité avec les méthodes analytiques structurées, avec les cadres qui recensent les tactiques et techniques des adversaires, et avec la discipline consistant à éviter les biais aide l'analyste à parvenir à des jugements solides. Les personnes y arrivent souvent depuis des parcours en opérations de sécurité, en réponse aux incidents ou en analyse de renseignement généraliste, et certaines viennent de la recherche, du journalisme ou de milieux militaires et gouvernementaux où l'évaluation et le reporting sont déjà une seconde nature. Avec l'expérience, un analyste peut se spécialiser dans le suivi de certains adversaires ou de certaines régions, diriger une fonction de renseignement, ou s'orienter vers le threat hunting et l'ingénierie de la détection.
La threat intelligence est proche de plusieurs rôles voisins sans faire double emploi avec eux. Elle alimente le travail d'investigation du DFIR en fournissant du contexte sur qui et quoi une organisation affronte, et elle guide les équipes de sécurité défensive sur ce qu'il faut surveiller et prioriser, tout en laissant l'ingénierie de la détection et les opérations de réponse à ces fonctions. Sa contribution est l'analyse et la communication de la connaissance des adversaires, qui permet au reste du programme de sécurité d'agir avec anticipation plutôt que seulement en réaction.