Comment ça marche
Méthodologie de scoring des menaces
Comment les scores combinent données indexées, pondérations de sources configurées et enrichissement à la volée, et ce qu’ils ne prouvent pas.
Chaîne de traitement
Comment fonctionne la chaîne de scoring
- 01
Ingestion multi-sources
Des tâches planifiées ingèrent les flux dans le corpus indexé ; les recherches le lisent et peuvent demander un enrichissement à la volée. Flux, sources contributrices et fournisseurs d’enrichissement se comptent séparément.
- 02
Poids de sources configurés
Les poids sont des règles de calcul configurées, pas une précision mesurée : Google Safe Browsing 0,95, StopForumSpam 0,70. Un signalement d’URL compte pour moitié dans le score de son hôte.
- 03
Corrélation entre fournisseurs
Les signaux croisés entre fournisseurs ajoutent un facteur distinct lorsqu’ils existent. Avec des données amont partagées, plusieurs signalements ne sont pas toujours des preuves indépendantes.
- 04
Calcul de la confiance
Poids de base ci-dessous, renormalisés sur les facteurs présents ; les facteurs scanners et entre fournisseurs sont conditionnels. La confiance est un score, pas une probabilité de malveillance.
- 05
Enrichissement et contexte
Géolocalisation, ASN, WHOIS, DNS, certificats ou OTX, selon le type d’indicateur, la réponse amont et le cache. Un enrichissement absent ne signifie pas qu’un indicateur est sain.
Scoring
Les facteurs du score de confianceLa somme pondérée est divisée par la somme des poids inclus. Si une entrée déjà signalée malveillante possède des sources et obtient moins de 30, son score est relevé à au moins 35. Ce score ne définit pas le verdict malveillant.
| Facteur | Poids de base | Description |
|---|---|---|
| Accord entre sources | 33 % | Éditeurs distincts parmi les signalements de menace ; les doublons et les entrées de suivi publicitaire seules n’ajoutent pas de votes indépendants |
| Qualité des sources | 22 % | Poids configurés des sources signalantes, pas une précision mesurée |
| Consensus des scanners | 18 % | Inclus seulement si des moteurs de scanner ont retourné des verdicts |
| Accord entre fournisseurs | 12 % | Inclus lorsqu’une corrélation entre fournisseurs est disponible |
| Complétude des données | 10 % | Présence des champs attendus pour le type d’indicateur |
| Fraîcheur des données | 5 % | Âge calculé à partir des dates d’observation ou de mise à jour disponibles ; les dates peuvent manquer |
Sources
Exemples de poids de sources configurésLes paliers A (au moins 0,90), B (au moins 0,75) et C sont des groupes d’affichage, pas des notes de benchmark. Un poids configuré ne confirme pas qu’une source est active ou contribue à un résultat donné.
Lus dans la configuration du scoring le 2026-10-08. Ni une liste des flux actifs, ni celle des fournisseurs interrogés à chaque requête.
| Source | Catégorie | Poids configuré |
|---|---|---|
| Google Safe Browsing | Phishing et malwares | 0.95A |
| PhishTank | Phishing | 0.90A |
| OpenPhish | Phishing | 0.90A |
| URLhaus (abuse.ch) | Distribution de malwares | 0.90A |
| Abuse.ch | C2 et malwares | 0.90A |
| Spamhaus | Spam et abus | 0.85B |
| SURBL | Blocklist d’URL de spam | 0.85B |
| Feodo Tracker | C2 de chevaux de Troie bancaires | 0.85B |
| AlienVault OTX | Renseignement | 0.80B |
| Malware Domains | Hébergement de malwares | 0.80B |
| Tor Project | Réseau d’anonymisation | 0.80B |
| Malware Domain List | Hébergement de malwares | 0.75B |
| Blocklist.de | Force brute et abus | 0.75B |
| ThreatCrowd | Renseignement | 0.75B |
| AbuseIPDB | Signalement d’abus d’IP | 0.70C |
| StopForumSpam | Spam de forums | 0.70C |
Fraîcheur
La fraîcheur des données
- Ingestion des flux, reconstruction des collections, polling client et publication amont ont des rythmes distincts : un polling horaire n’est pas une observation horaire.
- Utilisez firstSeen, lastSeen, lastUpdated et dataTrust lorsqu’ils sont présents. Une date de mise à jour n’est pas la première observation amont.
- Planification, caches et pannes tierces peuvent retarder les mises à jour. Aucune fraîcheur universelle de 24 heures n’est garantie.
Interprétation
Le traitement des faux positifs
- Signaux contradictoires et détails des sources, lorsqu’ils sont renvoyés, aident un analyste à revoir un verdict. Ils ne constituent pas un taux de faux positifs mesuré.
- Infrastructures partagées et signalements amont répétés demandent du contexte : vérifiez vos propres journaux avant de bloquer sur un score.
- Signalez un faux positif présumé via le formulaire de contact, avec l’indicateur et les éléments qui montrent que le résultat est erroné.
Examiner une réponse réelle de l’API
Comparez les champs renvoyés, les horodatages et les manques avec les sources que vous utilisez déjà.