Un chercheur en menaces est un spécialiste qui investigue la substance technique des attaques : les logiciels malveillants déployés par les adversaires, l'infrastructure qu'ils construisent, les vulnérabilités qu'ils exploitent et les techniques qu'ils emploient pour obtenir et conserver un accès. Là où un analyste en renseignement sur les menaces se concentre souvent sur le suivi des acteurs, des campagnes et de la vision d'ensemble, le chercheur en menaces travaille au plus près des artefacts eux-mêmes, en décortiquant un échantillon malveillant ou un schéma réseau suspect pour comprendre exactement comment il fonctionne. Le produit de ce travail est une connaissance technique durable : la manière dont une famille de logiciels malveillants se comporte, ce qu'un ensemble d'outils révèle sur ses opérateurs, et quelles caractéristiques observables permettent de reconnaître à nouveau la menace par la suite. Ce rôle existe chez les éditeurs de sécurité, les entreprises d'antivirus et de protection des postes de travail, les grandes équipes de sécurité en entreprise, les CERT nationaux et les groupes de recherche indépendants.
Le travail au quotidien est centré sur l'analyse. Un chercheur examine le code malveillant pour déterminer ce qu'il fait, comment il communique, comment il persiste et comment il échappe aux défenses, en combinant examen statique, observation dynamique contrôlée dans des environnements isolés et rétro-ingénierie de binaires compilés. En plus des logiciels malveillants, les chercheurs étudient l'infrastructure des attaquants, comme les serveurs de commande et de contrôle et les kits d'hameçonnage, mettent en correspondance les comportements observés avec des cadres tels que MITRE ATT&CK, et condensent leurs constats en indicateurs de compromission et en logiques de détection. Une part importante du métier consiste à écrire : des rapports internes, des signatures de détection, et souvent des articles de blog publics ou des présentations en conférence qui documentent une nouvelle menace et en expliquent l'importance pour les défenseurs. La clarté compte autant que la profondeur technique, car la valeur de la recherche ne se concrétise que lorsque d'autres équipes peuvent agir à partir de ses résultats.
Le rôle exige de solides bases sur le fonctionnement des systèmes sous la surface. L'aisance avec les mécanismes internes des systèmes d'exploitation, les réseaux et au moins un langage de script est indispensable, et les spécialisations plus poussées s'appuient sur l'assembleur, le débogage et les compétences en rétro-ingénierie. Les chercheurs ont besoin de la patience nécessaire pour venir à bout de l'obfuscation et des impasses, de la discipline pour manipuler des logiciels malveillants actifs en toute sécurité, et de la curiosité pour continuer à apprendre à mesure que les techniques des adversaires évoluent. La rigueur analytique est tout aussi importante : la capacité à étayer ses conclusions par des preuves, à reconnaître l'incertitude et à éviter de surinterpréter ce qu'un artefact donné démontre réellement. La communication écrite et orale complète le profil, car une recherche que l'on ne sait pas expliquer a un impact limité.
On entre généralement dans la recherche sur les menaces à partir de parcours techniques voisins plutôt que directement à la sortie des études. Les voies les plus courantes passent par les opérations de sécurité, la réponse aux incidents, l'ingénierie de la détection ou le développement logiciel, où les praticiens acquièrent la connaissance des systèmes et les réflexes d'investigation que le rôle valorise. Certains y arrivent par un fort intérêt pour l'analyse de logiciels malveillants ou la rétro-ingénierie développé à travers des compétitions de type capture-the-flag, des laboratoires personnels et l'étude en autodidacte. L'évolution au sein du domaine tend soit vers une spécialisation plus poussée, par exemple devenir une référence sur une plateforme, une catégorie de logiciels malveillants ou une classe d'acteurs en particulier, soit vers un périmètre plus large consistant à diriger une équipe de recherche, à définir l'agenda de recherche d'un éditeur et à encadrer de nouveaux analystes. Un corpus de travaux publiés et reconnu est souvent ce qui distingue les chercheurs expérimentés.
La recherche sur les menaces est proche de plusieurs rôles voisins et en alimente beaucoup. Ses constats techniques fournissent la matière première qu'un analyste en renseignement sur les menaces contextualise en suivi d'acteurs et qu'un analyste stratégique des menaces intègre dans des évaluations de plus haut niveau destinées aux dirigeants. Les équipes de détection et de réponse consomment les signatures et les indicateurs comportementaux produits par les chercheurs, et les intervenants en réponse aux incidents s'appuient sur l'analyse de logiciels malveillants au cours d'investigations actives. Le rôle se distingue de ses voisins par la profondeur de son attention portée aux artefacts et aux mécanismes d'une attaque, plutôt qu'à la gestion de programmes de renseignement, à la surveillance de sources clandestines ou à la traduction des menaces en décisions métier. Comprendre où s'arrête la recherche et où commencent ces fonctions adjacentes aide les praticiens à collaborer efficacement et à positionner leur travail là où il est le plus utile.