Méthodologie de scoring des menaces
Comment isMalicious agrège les signaux de plus de 16 sources de renseignement, les pondère par fiabilité de la source, et produit un verdict unique assorti d’un score de confiance pour chaque IP, domaine et URL de notre base.
Indexés
Enregistrements de menaces
16+
Sources de renseignement
< 1 hour
Rafraîchissement
<100ms
Recherche en cache
Comment fonctionne la chaîne de scoring
Ingestion multi-sources
À chaque recherche, isMalicious interroge en parallèle plus de 16 flux de renseignement récents. Chaque source renvoie un indicateur binaire (malveillant ou sain) et, éventuellement, des métadonnées : catégorie de menace, date de première observation, confiance.
Pondération par fiabilité de la source
Toutes les sources ne se valent pas. Chacune porte un poids de fiabilité entre 0 et 1, fondé sur sa justesse historique et son taux de faux positifs. Google Safe Browsing et le CISA KEV sont à 0,95 ; les sources communautaires comme StopForumSpam sont à 0,70. Un signalement venu d’une source très fiable pèse proportionnellement plus dans le score final. Un signalement qui nomme une URL plutôt qu’un hôte compte pour moitié quand nous scorons l’hôte lui-même.
Corrélation entre fournisseurs
Notre corrélateur vérifie l’accord entre catégories de fournisseurs distinctes — blocklists, scanners multi-moteurs et bases d’abus. Un accord entre catégories vaut 12 % de poids supplémentaire, car des classes de détection indépendantes partagent moins facilement un faux positif.
Calcul du score de confiance
Six facteurs sont combinés en un score de confiance de 0 à 100, selon des poids fixes (voir le tableau ci-dessous). Un verdict est « malveillant » quand le score atteint 50 et qu’au moins une source signale l’indicateur. Un score inférieur à 30 assorti d’un signalement est relevé à 35, pour éviter des verdicts trompeusement peu confiants.
Enrichissement et contexte
Chaque résultat est enrichi de la géolocalisation, de l’ASN, des données WHOIS, de l’âge du domaine, de l’historique des certificats TLS et de l’historique DNS. Pour les CVE, s’y ajoutent le CVSS v3, les scores EPSS de FIRST.org, le statut CISA KEV, la classification d’exploitation SSVC, les avis du CERT-FR, les bulletins MSRC et les références Exploit-DB.
Les facteurs du score de confiance
| Facteur | Poids | Description |
|---|---|---|
| Accord entre sources | 33 % | Combien de sources indépendantes signalent le même indicateur |
| Qualité des sources | 22 % | Score de fiabilité des sources signalantes (de 0 à 1 par source) |
| Consensus des scanners | 18 % | L’accord entre les verdicts des moteurs, quand un échantillon de scanner existe |
| Accord entre fournisseurs | 12 % | La confirmation entre catégories de fournisseurs (blocklist, scanner, base d’abus) |
| Complétude des données | 10 % | Si tous les champs d’enrichissement attendus sont renseignés |
| Fraîcheur des données | 5 % | À quel point le signal de menace est récent |
Les sources de renseignement
Les sources sont interrogées en parallèle et pondérées par leur fiabilité. Les scores sont mesurés sur la justesse historique, jamais auto-déclarés.
| Source | Catégorie | Fiabilité |
|---|---|---|
| Google Safe Browsing | Phishing et malwares | 0.95A |
| PhishTank | Phishing | 0.90A |
| OpenPhish | Phishing | 0.90A |
| URLhaus (abuse.ch) | Distribution de malwares | 0.90A |
| Abuse.ch | C2 et malwares | 0.90A |
| Spamhaus | Spam et abus | 0.85B |
| SURBL | Blocklist d’URL de spam | 0.85B |
| Feodo Tracker | C2 de chevaux de Troie bancaires | 0.85B |
| AlienVault OTX | Renseignement | 0.80B |
| Malware Domains | Hébergement de malwares | 0.80B |
| Tor Project | Réseau d’anonymisation | 0.80B |
| Malware Domain List | Hébergement de malwares | 0.75B |
| Blocklist.de | Force brute et abus | 0.75B |
| ThreatCrowd | Renseignement | 0.75B |
| AbuseIPDB | Signalement d’abus d’IP | 0.70C |
| StopForumSpam | Spam de forums | 0.70C |
La fraîcheur des données
Les flux de renseignement sont ingérés en continu. La plupart des blocklists et des flux d’abus se rafraîchissent toutes les 15 à 60 minutes. Les sources de type scanner (Google Safe Browsing) sont interrogées à la demande, à chaque recherche, avec une mise en cache de courte durée pour garder des rapports rapides et frais.
Les données de CVE sont synchronisées depuis le NVD, le CISA KEV, OpenCVE, le CERT-FR, le MSRC, les GitHub Security Advisories et l’EPSS de FIRST toutes les 6 heures. Les scores EPSS sont actualisés chaque jour depuis FIRST.org.
Les données de victimes de rançongiciels sont ingérées en continu depuis les sites de fuite surveillés. Une nouvelle victime apparaît généralement dans les 1 à 4 heures suivant la publication.
Le traitement des faux positifs
Les faux positifs sont limités par un filtrage sur la qualité des sources et par la détection des désaccords entre fournisseurs. Quand le consensus des scanners et les blocklists divergent nettement, nous exposons un signal de désaccord entre sources dans la réponse de l’API, plutôt que de forcer un verdict binaire.
Les grandes plages de CDN (Cloudflare, Fastly, AWS, Azure, Google Cloud) sont suivies à part, pour éviter de signaler une infrastructure partagée. L’âge du domaine, le bureau d’enregistrement et les journaux de transparence des certificats aident à distinguer un domaine malveillant récemment enregistré d’un domaine légitime.
Vous pouvez signaler un faux positif via le point de signalement. Les faux positifs confirmés sont examinés sous 24 heures et propagés à notre couche de suppression de blocklists.
Accéder à l’API de renseignement complète
Chaque score, chaque signal et chaque détail par source est disponible via l’API isMalicious — y compris les votes bruts des sources, les poids de fiabilité et les signaux de corrélation croisée.