Le renseignement sur les menaces est la pratique consistant à recueillir, analyser et exploiter des informations sur les adversaires, leurs tactiques et leur outillage afin de guider les décisions de défense. Il aide une organisation à comprendre qui pourrait la cibler et comment, de sorte qu'un effort limité soit dépensé là où se trouvent réellement les menaces probables.
Au sein de la phase de préparation, le renseignement sur les menaces donne une direction à la défense. Sans lui, les équipes ont tendance à tout protéger de manière égale ou à courir après l'actualité la plus bruyante. Le renseignement ancre les priorités dans des faits, en orientant les détections à construire, les faiblesses à corriger en premier et les scénarios à répéter. Il relie le paysage plus large des menaces à l'environnement précis qu'une équipe doit défendre.
En pratique, le renseignement sur les menaces suit un cycle : définir les besoins, collecter auprès de sources ouvertes et commerciales, analyser pour séparer le signal pertinent du bruit, et diffuser les constats sous une forme que chaque public peut utiliser. Les livrables vont des indicateurs techniques qui alimentent la détection aux évaluations stratégiques qui éclairent la direction. Le renseignement le plus précieux est actionnable, opportun et rattaché au contexte de l'organisation, décrivant le comportement adverse en des termes que les défenseurs peuvent rattacher à des contrôles. Des cadres partagés et des communautés de confiance aident les équipes à échanger des informations et à éviter d'apprendre seules les mêmes leçons.
Références#
- MITRE ATT&CK, adversary tactics and techniques knowledge base
- FIRST, Traffic Light Protocol for intelligence sharing