TLP : Traffic Light Protocol
Sécurité
TLP : Traffic Light Protocol. « Protocole des feux de signalisation », par analogie avec le feu tricolore qui indique jusqu'où une information a le droit de circuler. Il s'agit d'une convention de marquage qui fixe le périmètre de diffusion d'une information sensible partagée entre équipes de sécurité.
Les couleurs : La version 2.0, publiée par le FIRST en 2022, définit cinq niveaux. TLP:RED limite l'information aux seuls destinataires nommés. TLP:AMBER l'étend à leur organisation et à ses clients qui en ont besoin, tandis que TLP:AMBER+STRICT la réserve à l'organisation seule. TLP:GREEN autorise le partage dans la communauté concernée, mais pas en public. TLP:CLEAR, l'ancien WHITE, permet une diffusion libre.
Qui décide : C'est l'émetteur qui choisit la couleur et l'affiche en clair (par exemple « TLP:AMBER ») en tête de rapport, dans l'objet du mail ou en étiquette sur un indicateur de compromission. Le destinataire qui veut élargir la diffusion demande l'accord de la source, il ne repeint pas lui-même l'étiquette.
Ce que ce n'est pas : Ce n'est ni un contrôle d'accès ni une classification réglementaire : un TLP:RED ne chiffre rien et ne bloque aucun transfert. Vingt ans d'échanges entre équipes de réponse à incident apprennent que l'étiquette tient exactement jusqu'au premier « pour info » envoyé à toute la liste de diffusion.
Où on le croise : On le rencontre dans les échanges entre CERT, CSIRT et ISAC, et sous forme de tags dans les plateformes de partage de renseignement sur les menaces comme MISP, ou dans des objets STIX.
Ce qui arrive si on s'en passe
Sans marquage TLP, une information partagée entre équipes de sécurité ne porte aucune limite de diffusion explicite : chaque destinataire décide seul jusqu'où la relayer. Des indicateurs de compromission destinés à un cercle restreint peuvent alors finir dans une liste de diffusion élargie, dans le ticket d'un prestataire ou dans un dépôt public. L'attaquant apprend ainsi que son infrastructure est repérée et peut en changer avant la remédiation. À l'inverse, faute de mention TLP:CLEAR ou TLP:GREEN, une information pourtant diffusable reste bloquée par prudence et n'atteint pas les équipes qui en auraient besoin pour se protéger. La source ne peut plus prévoir ce que deviendra ce qu'elle transmet ; elle finit donc par partager moins, ou plus tard. Le marquage ne chiffre rien et n'impose aucun contrôle technique, puisqu'il repose sur le respect des destinataires. Son absence supprime pourtant la règle commune qui permet de qualifier une fuite et d'en désigner la responsabilité.
Explication de la marmotte
Quand des spécialistes de la sécurité informatique repèrent une attaque, ils préviennent d'autres équipes pour que celles-ci se protègent. Certaines informations restent pourtant délicates : si elles circulent trop, les pirates comprennent qu'ils ont été repérés. On colle donc une couleur sur chaque message, comme un feu de circulation. Rouge : l'information reste entre les personnes à qui on l'a confiée, comme un secret chuchoté. Orange : on peut en parler dans son entreprise, mais seulement à ceux qui en ont besoin. Vert : on peut la partager avec les gens du métier, mais pas sur les réseaux sociaux. Transparent : tout le monde peut la lire. Rien n'empêche vraiment de tricher, tout repose sur la confiance.
Où ce terme est utilisé
- Rôle de FIRST et mise en œuvre du TLP (32 occurrences)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (12 occurrences)
- CCCS Canada et ACSC Australie dans les Five Eyes (6 occurrences)
- Monter un CSIRT interne, missions, services FIRST et rattachement (4 occurrences)
- IoC ou TTP pour détecter une compromission (1 occurrence)
- NCSC-NL et coordination cyber portuaire néerlandaise (1 occurrence)
- Organismes (1 occurrence)