Les référentiels donnent au renseignement sur les cybermenaces une structure commune. Ils fournissent un vocabulaire partagé, un processus reproductible et une manière d'organiser les observations pour que différents analystes et équipes puissent décrire la même activité en termes compatibles. Plutôt que de traiter chaque intrusion comme une histoire unique, les référentiels permettent aux praticiens de rattacher les événements à des modèles établis, de comparer les campagnes dans le temps et de transmettre les constats aux équipes de détection et de réponse sous une forme utilisable. Aucun référentiel n'est complet à lui seul, aussi les analystes en combinent-ils plusieurs, l'un servant à décrire le comportement adverse et un autre à structurer le flux de travail autour.
Les référentiels et méthodologies décrits dans ce domaine comprennent les suivants.
- Le cycle du renseignement : le processus itératif d'orientation, de collecte, de traitement, d'analyse et de diffusion qui organise le travail de renseignement.
- Le modèle du Diamant : un modèle qui relie l'adversaire, la capacité, l'infrastructure et la victime pour caractériser les événements d'intrusion.
- La Cyber Kill Chain : une séquence d'étapes décrivant comment une intrusion progresse de la reconnaissance à l'action sur les objectifs.
- MITRE ATT&CK : une base de connaissances des tactiques, techniques et procédures adverses observées dans des opérations réelles.
- F3EAD : le cycle find, fix, finish, exploit, analyze, disseminate qui relie le renseignement aux opérations.
Références#
- MITRE ATT&CK, attack.mitre.org
- Lockheed Martin, Intelligence Driven Defense et la Cyber Kill Chain