CTI : Cyber Threat Intelligence, renseignement sur les menaces
Sécurité
CTI : Cyber Threat Intelligence, en français renseignement sur la menace cyber. « Savoir qui risque de frapper, comment et avec quoi, avant de l'apprendre par la facture », par analogie avec le bulletin météo, qui n'empêche pas l'orage mais évite de sortir en sandales.
Quatre niveaux : Stratégique (quels acteurs visent quel secteur et pourquoi, pour les directions), opérationnel (campagnes en cours), tactique (modes opératoires, souvent décrits avec ATT&CK) et technique (indicateurs de compromission : adresses IP, domaines, empreintes de fichiers).
Sources : Rapports d'éditeurs et d'agences, flux commerciaux ou communautaires, observations internes du SOC, surveillance des forums criminels et des journaux volés par les infostealers, logiciels qui aspirent mots de passe et cookies des postes infectés.
Formats d'échange : STIX (Structured Threat Information Expression) décrit les objets de menace et TAXII (Trusted Automated Exchange of Intelligence Information) les transporte, deux normes publiées par le consortium OASIS. Le format ne garantit pas la qualité : un flux qui livre dix mille indicateurs périmés reste un flux, au sens hydraulique du terme.
Homonyme : En téléphonie, CTI désigne aussi la Computer Telephony Integration, couplage entre standard téléphonique et informatique, sans rapport avec la menace.
Ce qui arrive si on s'en passe
Sans renseignement sur la menace, la défense se règle sur des menaces génériques et ignore celles qui visent réellement l'organisation. Des identifiants d'employés vendus sur un forum restent valides des semaines, puis servent à une connexion qui ressemble à toutes les autres. Le SOC détecte alors l'intrusion au stade du chiffrement des serveurs plutôt qu'au stade de l'accès initial. À l'inverse, injecter des flux bruts sans tri dans le SIEM noie les analystes sous des alertes obsolètes, ce qui revient au même par un chemin plus coûteux.
Explication de la marmotte
Le renseignement sur les menaces consiste à collecter des informations sur les attaquants : qui ils sont, ce qu'ils visent et comment ils s'y prennent. Ces informations viennent de rapports publics, d'entreprises spécialisées ou de ce qu'on observe sur son propre réseau. Les défenseurs s'en servent pour savoir quoi surveiller en priorité, par exemple une adresse connue pour servir à des attaques ou des mots de passe de l'entreprise qui circulent sur Internet.