La collecte est le point de départ de la fonction de renseignement. Avant toute analyse, une équipe de renseignement sur les cybermenaces doit rassembler la matière brute sur les adversaires, leur infrastructure et leur comportement. Les disciplines de collecte décrivent les différents canaux par lesquels cette matière arrive, chacun avec ses forces, ses exigences d'accès et ses considérations de fiabilité. Les programmes matures combinent plusieurs disciplines pour que les lacunes de l'une soient comblées par une autre, et pour qu'un même constat puisse être corroboré par des sources indépendantes. Comprendre d'où viennent les données est aussi la première étape pour juger du degré de confiance à leur accorder.
Les principales disciplines de collecte sur lesquelles s'appuie une équipe de renseignement sur les cybermenaces comprennent les suivantes.
- L'OSINT : le renseignement de sources ouvertes recueilli à partir de matériaux publiquement accessibles tels que les sites web, les forums, les réseaux sociaux, les dépôts de code, les enregistrements de noms de domaine et les recherches des éditeurs.
- L'HUMINT : le renseignement humain issu des personnes, y compris l'engagement des analystes auprès des communautés clandestines, les informateurs et le contact direct avec des acteurs de la menace.
- Le SIGINT : le renseignement d'origine électromagnétique tiré des communications interceptées et des signaux réseau, plus courant dans les contextes gouvernementaux et de défense.
- La collecte technique : les preuves extraites d'échantillons de logiciels malveillants, de la télémétrie des postes et du réseau, des pots de miel et des détonations en bac à sable, qui révèlent l'outillage et le comportement adverses.
- Les flux commerciaux et communautaires : des indicateurs et rapports sélectionnés provenant d'éditeurs payants, de communautés de partage et d'échanges de menaces à but non lucratif.
Références#
- MITRE ATT&CK, attack.mitre.org
- Gartner, Market Guide for Security Threat Intelligence Products and Services