Le renseignement sur les cybermenaces : anticiper, comprendre et décider dans un environnement numérique hostile
Face à des adversaires de plus en plus organisés, la cybersécurité ne consiste plus uniquement à détecter et bloquer des attaques. Elle suppose également de comprendre les menaces, leurs méthodes et leurs objectifs afin d’anticiper les risques et d’éclairer la décision.
L’essentiel
Une cyberattaque laisse rarement apparaître toute sa logique au premier regard.
Une adresse IP malveillante, un courriel de phishing, un logiciel malveillant ou une tentative de connexion ne constituent que des éléments isolés.
Le renseignement sur les cybermenaces, ou Cyber Threat Intelligence (CTI), cherche à transformer ces informations techniques et contextuelles en une connaissance exploitable permettant de mieux comprendre :
- qui pourrait menacer l’organisation ;
- quelles sont les motivations possibles ;
- quelles méthodes sont utilisées ;
- quelles vulnérabilités sont recherchées ;
- quels actifs pourraient être ciblés ;
- comment détecter plus rapidement une activité hostile ;
- quelles mesures de protection doivent être priorisées.
Cette approche repose sur un principe essentiel :
collecter davantage de données ne suffit pas. Il faut être capable de les analyser, les contextualiser et les transformer en renseignement utile à la décision.
Le renseignement sur les cybermenaces devient ainsi une composante importante de la prévention, de la détection, de la gestion de crise et de la résilience numérique des organisations.
1. De l’information au renseignement
Une information brute n’est pas nécessairement un renseignement.
Une adresse IP, un nom de domaine, un fichier suspect ou une alerte générée par un système de sécurité constituent avant tout des données ou des informations.
Elles prennent davantage de valeur lorsqu’elles sont :
- collectées ;
- vérifiées ;
- croisées ;
- contextualisées ;
- analysées ;
- interprétées ;
- transmises au bon niveau décisionnel.
Le renseignement cherche donc à réduire l’incertitude afin d’améliorer la prise de décision.
Cette logique, historiquement présente dans les domaines militaire, diplomatique ou économique, trouve naturellement une application dans le cyberespace.
2. Qu’est-ce qu’une cybermenace ?
Une cybermenace peut être comprise comme une menace susceptible de porter atteinte à des systèmes numériques, des réseaux, des données, des services ou aux personnes qui en dépendent.
Elle peut prendre des formes très différentes :
- hameçonnage ;
- rançongiciel ;
- vol d’identifiants ;
- intrusion dans un système d’information ;
- déni de service ;
- exploitation de vulnérabilités ;
- espionnage ;
- exfiltration de données ;
- compromission de fournisseurs ;
- fraude ;
- sabotage numérique.
Les motivations sont elles aussi diverses.
Elles peuvent être :
- financières ;
- stratégiques ;
- idéologiques ;
- politiques ;
- criminelles ;
- liées à l’espionnage ;
- liées à la déstabilisation.
Comprendre la menace nécessite donc de dépasser la seule analyse technique.
3. Des adversaires aux profils très différents
Tous les acteurs malveillants ne disposent évidemment pas des mêmes capacités.
L’écosystème peut notamment comprendre :
- des cybercriminels opportunistes ;
- des groupes criminels organisés ;
- des fraudeurs ;
- des acteurs spécialisés dans les rançongiciels ;
- des groupes hacktivistes ;
- des acteurs internes malveillants ;
- des groupes disposant de capacités avancées ;
- des acteurs liés, directement ou indirectement, à des intérêts étatiques.
Les groupes communément désignés comme APT – Advanced Persistent Threats se distinguent notamment par leur capacité à conduire des opérations complexes et parfois prolongées.
L’attribution à un groupe ou, plus encore, à un État doit cependant rester particulièrement prudente.
Une infrastructure technique peut être partagée, compromise ou volontairement utilisée pour brouiller les pistes.
4. Anticiper plutôt que simplement réagir
Une organisation qui découvre une menace uniquement lorsqu’un rançongiciel commence à chiffrer ses serveurs intervient déjà très tard dans le processus.
Avant d’atteindre son objectif, un adversaire peut avoir réalisé différentes actions :
- reconnaissance ;
- recherche d’informations ;
- préparation d’infrastructures ;
- obtention ou vol d’identifiants ;
- tentative d’accès initial ;
- déplacement dans le système ;
- collecte de données ;
- préparation de l’exfiltration ou de l’impact final.
Ces activités peuvent parfois produire des signaux.
Individuellement, certains semblent insignifiants.
Mis en relation, ils peuvent révéler une activité beaucoup plus préoccupante.
C’est précisément l’une des fonctions du renseignement sur les cybermenaces : relier des éléments dispersés afin de faire émerger une compréhension globale de la menace.
5. Le cycle du renseignement appliqué au cyber
La Cyber Threat Intelligence peut être organisée autour d’un cycle.
Les modèles varient, mais plusieurs grandes étapes se retrouvent régulièrement.
Orientation
Il faut d’abord déterminer les besoins.
Quels actifs doivent être protégés ?
Quelles menaces préoccupent l’organisation ?
Quelles décisions doivent être éclairées ?
Sans besoin clairement défini, la collecte risque de produire une quantité considérable d’informations sans réelle utilité.
Collecte
Les analystes recherchent ensuite les informations pertinentes.
Celles-ci peuvent notamment provenir :
- de données internes ;
- de journaux techniques ;
- de renseignements issus d’incidents ;
- de sources ouvertes ;
- de publications spécialisées ;
- de communautés de confiance ;
- de bases de connaissances sur les menaces ;
- de CERT ou CSIRT ;
- de fournisseurs spécialisés.
La collecte doit rester proportionnée, légitime et conforme au cadre juridique applicable.
Traitement et analyse
Les informations doivent ensuite être triées, vérifiées, croisées et contextualisées.
L’analyste cherche notamment à identifier :
- les comportements observés ;
- les infrastructures ;
- les techniques employées ;
- les vulnérabilités exploitées ;
- les victimes potentielles ;
- les objectifs possibles de l’adversaire.
L’analyse doit également distinguer ce qui est établi, probable, possible ou simplement hypothétique.
Diffusion
Le renseignement n’a de valeur que s’il parvient à la bonne personne sous une forme exploitable.
Un analyste SOC n’a pas nécessairement besoin du même niveau d’information qu’un RSSI, un responsable de crise ou une direction générale.
La forme du renseignement doit donc être adaptée au destinataire.
Retour d’expérience
Enfin, les besoins évoluent.
Les résultats doivent permettre de réorienter la collecte et les analyses futures.
Le renseignement constitue ainsi un processus continu, et non un rapport produit une fois pour toutes.
6. Du renseignement technique au renseignement stratégique
Toutes les informations de Threat Intelligence n’ont pas la même finalité.
On distingue généralement plusieurs niveaux.
Renseignement technique
Il concerne notamment certains éléments observables :
- adresses IP ;
- domaines ;
- signatures ;
- fichiers ;
- empreintes numériques ;
- autres indicateurs techniques.
Ces éléments peuvent contribuer à la détection, mais leur durée d’utilité peut être limitée.
Renseignement tactique
Il cherche davantage à comprendre les tactiques, techniques et procédures utilisées par les adversaires.
Cette connaissance permet notamment d’améliorer les capacités de détection et de défense.
Renseignement opérationnel
Il concerne davantage le déroulement d’opérations ou de campagnes particulières :
- acteurs supposés ;
- infrastructures ;
- cibles ;
- chronologie ;
- objectifs ;
- évolution d’une campagne.
Renseignement stratégique
Il s’adresse davantage aux décideurs.
Il peut notamment analyser :
- l’évolution d’une menace ;
- les secteurs ciblés ;
- les tendances criminelles ;
- les risques géopolitiques ;
- les conséquences possibles pour l’organisation.
La CTI ne concerne donc pas uniquement les spécialistes techniques.
Elle peut également devenir un instrument de gouvernance du risque cyber.
7. Le Diamond Model : comprendre les relations d’une intrusion
Parmi les modèles utilisés pour analyser les intrusions figure le Diamond Model of Intrusion Analysis.
Son principe repose sur quatre éléments principaux :
Adversary
Qui conduit ou pourrait conduire l’activité hostile ?
Quelles sont ses motivations et ses capacités ?
L’identification doit rester prudente, particulièrement lorsque l’attribution n’est pas suffisamment étayée.
Victim
Qui est ciblé ?
Quels systèmes, personnes, organisations ou secteurs présentent un intérêt pour l’adversaire ?
Infrastructure
Quelles infrastructures permettent ou facilitent l’opération ?
Il peut notamment s’agir de serveurs, domaines ou autres ressources techniques utilisées dans l’activité observée.
Capability
Quelles capacités l’adversaire utilise-t-il ?
Il peut s’agir de logiciels malveillants, techniques, outils ou méthodes lui permettant d’atteindre son objectif.
L’intérêt du modèle réside notamment dans l’analyse des relations entre ces différents éléments.
8. MITRE ATT&CK : comprendre le comportement des adversaires
L’un des référentiels les plus importants pour l’analyse des comportements adverses est MITRE ATT&CK.
ATT&CK signifie :
Adversarial Tactics, Techniques, and Common Knowledge.
Le référentiel organise les connaissances relatives aux comportements observés lors d’opérations cyber.
Dans sa matrice Enterprise, il structure notamment les activités adverses autour de tactiques telles que :
- Reconnaissance ;
- Resource Development ;
- Initial Access ;
- Execution ;
- Persistence ;
- Privilege Escalation ;
- Defense Evasion ;
- Credential Access ;
- Discovery ;
- Lateral Movement ;
- Collection ;
- Command and Control ;
- Exfiltration ;
- Impact.
Ces tactiques décrivent les objectifs intermédiaires poursuivis par un adversaire.
Elles sont associées à des techniques et sous-techniques décrivant plus précisément les comportements susceptibles d’être observés.
9. Pourquoi MITRE ATT&CK est-il particulièrement utile ?
L’un de ses principaux intérêts consiste à déplacer l’attention de simples indicateurs techniques vers les comportements adverses.
Une adresse IP peut changer.
Un domaine peut disparaître.
Un fichier malveillant peut être modifié.
Mais certaines méthodes utilisées pour obtenir des identifiants, maintenir une persistance ou se déplacer dans un réseau peuvent être réutilisées.
Comprendre ces comportements permet donc de construire une défense moins dépendante d’indicateurs ponctuels.
MITRE ATT&CK peut notamment contribuer à :
- analyser un incident ;
- structurer le renseignement ;
- cartographier des comportements adverses ;
- identifier des capacités de détection manquantes ;
- améliorer les scénarios de défense ;
- faciliter le partage d’informations entre analystes.
10. MITRE ATT&CK et Cyber Kill Chain : ne pas les confondre
Le texte initial mélangeait deux approches qu’il convient de distinguer.
La séquence :
Reconnaissance → Weaponization → Delivery → Exploitation → Installation → Command and Control → Actions on Objectives
correspond à la logique de la Cyber Kill Chain, développée par Lockheed Martin.
MITRE ATT&CK propose une représentation différente et beaucoup plus détaillée des tactiques et techniques adverses.
Ces modèles peuvent être complémentaires.
La Cyber Kill Chain permet de représenter une progression générale d’une attaque.
MITRE ATT&CK permet d’analyser plus finement comment l’adversaire agit à différentes étapes de son opération.
11. Les indicateurs de compromission ne suffisent plus
Pendant longtemps, une partie importante de la défense informatique reposait sur des Indicators of Compromise – IoC.
Ils restent utiles.
Mais ils présentent une limite importante : ils peuvent changer rapidement.
Un adversaire peut modifier :
- son infrastructure ;
- ses domaines ;
- ses fichiers ;
- certaines signatures techniques.
Une stratégie de Threat Intelligence mature cherche donc également à comprendre les TTP – Tactics, Techniques and Procedures.
Plus on comprend la manière dont un adversaire agit, plus il devient possible de construire des capacités de détection résilientes.
12. Threat Hunting : rechercher activement les signes de compromission
La Threat Intelligence peut également alimenter le Threat Hunting.
L’objectif n’est plus uniquement d’attendre qu’une alerte automatique se déclenche.
Les analystes recherchent activement des comportements ou des anomalies pouvant révéler une compromission.
Cette démarche repose généralement sur des hypothèses.
Par exemple :
Si un adversaire utilisant telle technique cible notre secteur, quels comportements devrions-nous rechercher dans nos propres systèmes ?
La connaissance de la menace oriente alors directement la recherche technique.
13. L’humain reste au cœur de nombreuses attaques
Malgré la sophistication croissante des outils, les attaquants continuent d’exploiter des comportements humains.
L’ingénierie sociale peut notamment chercher à provoquer :
- l’urgence ;
- la peur ;
- la curiosité ;
- la confiance ;
- l’autorité ;
- l’intérêt personnel.
Les attaquants peuvent utiliser les informations disponibles publiquement pour rendre leurs sollicitations plus crédibles.
Cette réalité souligne l’importance de la sensibilisation.
Mais elle montre également pourquoi les organisations doivent maîtriser leur exposition informationnelle.
Les informations publiées sur un site internet, un réseau social ou un document accessible publiquement peuvent parfois faciliter la préparation d’une attaque.
14. L’OSINT peut contribuer à la Threat Intelligence
Les sources ouvertes peuvent apporter des informations importantes dans l’analyse d’une menace.
L’OSINT peut notamment permettre d’étudier :
- certaines infrastructures ;
- des campagnes connues ;
- des publications d’acteurs de la cybersécurité ;
- des vulnérabilités ;
- des informations exposées publiquement ;
- des tendances sectorielles.
Mais la collecte en sources ouvertes doit rester encadrée.
Une information accessible sur Internet n’est pas automatiquement fiable.
L’analyste doit donc systématiquement :
vérifier, recouper et contextualiser.
15. L’attribution : l’un des exercices les plus difficiles
Identifier avec certitude l’auteur d’une cyberattaque constitue un exercice particulièrement complexe.
Des similitudes techniques peuvent fournir des indices.
Mais elles ne constituent pas nécessairement une preuve définitive.
Les attaquants peuvent :
- réutiliser des outils ;
- copier des méthodes ;
- exploiter des infrastructures tierces ;
- dissimuler leur origine ;
- produire volontairement de fausses pistes.
Il convient donc de distinguer :
l’attribution technique,
l’attribution analytique,
et l’attribution politique ou étatique.
Le niveau de confiance associé à une attribution doit toujours être explicité.
16. De la cybersécurité à la résilience
Le renseignement sur les cybermenaces ne permet pas de supprimer toutes les attaques.
Son objectif est plutôt d’aider l’organisation à mieux comprendre son environnement et à réduire son exposition.
Une CTI efficace peut notamment permettre :
- d’améliorer la prévention ;
- d’orienter les investissements ;
- de prioriser certaines vulnérabilités ;
- d’améliorer la détection ;
- de préparer les équipes ;
- d’anticiper certains scénarios ;
- d’appuyer la gestion de crise.
Elle contribue ainsi à passer d’une logique exclusivement réactive à une logique davantage anticipative.
17. Le renseignement doit déboucher sur une décision
Une organisation peut recevoir quotidiennement des milliers d’informations relatives aux cybermenaces.
Cette abondance peut devenir contre-productive si aucune priorité n’est définie.
La véritable question n’est donc pas :
« Combien d’informations avons-nous collectées ? »
mais plutôt :
« Qu’avons-nous appris et quelle décision cette connaissance nous permet-elle de prendre ? »
Le renseignement doit permettre d’agir.
Sans traduction opérationnelle ou stratégique, il risque de devenir une simple accumulation de données.
Points de vigilance
« Plus nous collectons d’indicateurs, meilleure est notre Threat Intelligence. »
Non. La valeur vient de la contextualisation et de l’analyse.
« MITRE ATT&CK décrit une attaque dans un ordre strict. »
Non. Les tactiques et techniques ne constituent pas nécessairement une séquence linéaire.
« MITRE ATT&CK et Cyber Kill Chain sont la même chose. »
Non. Les deux modèles peuvent être complémentaires mais répondent à des logiques différentes.
« Une adresse IP suffit pour identifier un attaquant. »
Non. L’attribution nécessite généralement plusieurs sources et niveaux d’analyse.
« La CTI concerne uniquement les grandes organisations. »
La profondeur du dispositif doit être proportionnée aux moyens et aux risques, mais toute organisation peut bénéficier d’une meilleure connaissance de son environnement de menace.
Ce qu’il faut retenir
Le renseignement sur les cybermenaces transforme des informations dispersées en connaissance exploitable pour la décision.
Il ne consiste pas uniquement à collecter des adresses IP, des noms de domaines ou des signatures techniques.
Il cherche à comprendre les adversaires, leurs motivations, leurs infrastructures, leurs capacités et leurs comportements.
Des référentiels comme MITRE ATT&CK et des modèles comme le Diamond Model peuvent aider à structurer cette compréhension.
Mais leur efficacité dépend d’une condition essentielle :
le renseignement doit être relié aux risques réels de l’organisation et déboucher sur des décisions concrètes.
Perspectives
L’augmentation du volume de données disponibles et le développement de l’intelligence artificielle devraient profondément transformer le renseignement sur les cybermenaces.
L’automatisation peut faciliter :
- le traitement de volumes importants de données ;
- la recherche de corrélations ;
- la classification d’informations ;
- l’identification de signaux faibles ;
- la production d’hypothèses.
Mais elle ne supprimera pas la nécessité de l’analyse humaine.
Comprendre l’intention d’un adversaire, apprécier la fiabilité d’une source, évaluer un contexte géopolitique ou déterminer les conséquences d’une menace pour une organisation nécessitent encore jugement, contextualisation et esprit critique.
Dans un environnement numérique où les attaquants disposent eux-mêmes de capacités croissantes d’automatisation, la Cyber Threat Intelligence devient donc davantage qu’une spécialité technique.
Elle constitue progressivement une fonction d’anticipation au service de la cybersécurité, de la gestion de crise et de la résilience des organisations.
Sources et références institutionnelles
- ANSSI – Publications et recommandations relatives aux cybermenaces et à la sécurité des systèmes d’information
- CERT-FR – Alertes, avis et publications sur les menaces cyber
- MITRE ATT&CK – Base de connaissances sur les tactiques et techniques adverses
- Diamond Model of Intrusion Analysis – Modèle d’analyse des intrusions
- Lockheed Martin – Cyber Kill Chain
- ENISA – Threat Landscape
- Europol – Publications relatives à la cybercriminalité
- Cybermalveillance.gouv.fr – Prévention et assistance face aux cybermenaces
Publication ADESS – Analyse stratégique
ADESS – Association des Experts en Sécurité et Sûreté
Cette publication contribue à la compréhension des cybermenaces, des méthodes d’analyse du renseignement cyber et de leur contribution à la prévention et à la résilience des organisations. Elle présente des principes généraux d’analyse et ne constitue ni une instruction opérationnelle de cybersécurité ni une méthode permettant de conduire des actions offensives.
Pierre VERDIN – ID : 7319745