Rapports composites : trier plusieurs IOC ensemble

Une seule alerte contient souvent plusieurs éléments d’infrastructure. Un message de phishing peut réunir une adresse d’expéditeur, une URL de redirection, le domaine final, un numéro de téléphone et un wallet. Une alerte malware peut relier un hash de fichier à un hôte de téléchargement et une IP de commande et contrôle. Vérifier chaque valeur dans un onglet séparé répond aux questions individuelles, mais masque la forme de l’événement.

Le rapport de menace composite conserve ces indicateurs ensemble. Il vérifie le lot, calcule une évaluation combinée à partir des résultats disponibles et préserve un verdict ainsi qu’un résumé distincts pour chaque indicateur.

STIX 2.1, le langage OASIS pour exprimer les menaces et observables cyber, utilise un modèle en graphe pour représenter leurs relations. Un rapport composite applique la même idée à l’échelle de l’enquête : les observables liés restent connectés sans perdre leurs preuves individuelles.

Pourquoi le triage unitaire perd le contexte

Les rapports séparés sont nécessaires pour la profondeur. Ils sont inefficaces pour le cadrage.

Lorsque les analystes travaillent indicateur par indicateur, ils doivent se souvenir des valeurs issues de la même alerte, copier les résultats dans des notes et réconcilier eux-mêmes les verdicts contradictoires. Cela crée des erreurs évitables :

• une adresse d’expéditeur propre détourne l’attention d’un domaine de redirection malveillant ;
• la même IP est examinée deux fois parce qu’elle apparaît à deux endroits du message ;
• une URL inconnue est traitée comme inoffensive alors que son domaine possède un historique fortement malveillant ;
• un verdict de hash à forte confiance est séparé de l’hôte ayant livré le fichier ;
• la conclusion finale ne peut plus être reliée à l’ensemble de preuves initial.

Une vue composite résout le problème de coordination. Elle ne prétend pas que tous les indicateurs ont la même signification.

Ce que montre l’évaluation combinée

Le rapport composite présente deux niveaux d’information.

Le premier est un verdict et un score combinés pour l’ensemble. Il répond à la question de triage : ce groupe contient-il assez de preuves malveillantes pour exiger une attention immédiate ? Le score repose sur les indicateurs ayant renvoyé une évaluation exploitable. Un résultat absent ne se fait donc pas passer pour un résultat propre.

Le second est le tableau de preuves. Chaque indicateur conserve :

• son type détecté ;
• son propre verdict ;
• une courte explication lorsqu’elle est disponible ;
• un lien direct vers le rapport complet.

Le rapport peut utiliser des résultats actuels ou mis en cache et indique le chemin ayant produit la vue. Cette distinction compte lorsqu’un indicateur évolue vite ou lorsqu’il faut reproduire une décision plus tard.

Partir de l’alerte d’origine

Le chemin le plus rapide vers un rapport composite passe par Smart Lookup. Collez le message, la note d’incident ou le texte de l’alerte. Contrôlez les indicateurs extraits, retirez ce qui n’est pas pertinent, puis choisissez l’analyse de l’ensemble complet.

Pour un signalement de phishing, conservez les valeurs représentant des pivots distincts :

• l’adresse email d’expédition ;
• le domaine visible ;
• l’URL complète visitée ;
• la destination de redirection ;
• le numéro de rappel ;
• le wallet demandé pour le paiement ;
• le hash de la pièce jointe, s’il est disponible.

N’ajoutez pas chaque mot inoffensif ni chaque nom d’hôte interne. Le rapport composite est le plus utile lorsque l’ensemble représente l’événement, pas le contenu entier du message.

Lire le rapport dans le bon ordre

Utilisez un ordre de lecture constant pour éviter de vous ancrer sur le premier badge rouge :

1. Vérifiez la couverture. Comptez les indicateurs ayant reçu un score et ceux qui restent inconnus ou en échec.
2. Trouvez la preuve malveillante la plus forte. Un hash de malware connu ou une URL de phishing confirmée pèse souvent davantage qu’un domaine récemment observé avec peu d’historique.
3. Cherchez les concordances. Plusieurs indicateurs malveillants indépendants renforcent le dossier. Des preuves répétées issues de la même source ne constituent pas des confirmations indépendantes.
4. Examinez les contradictions. Un domaine propre à côté d’une URL malveillante peut signaler un site légitime compromis, une redirection ouverte ou une observation périmée.
5. Ouvrez les rapports complets décisifs. Examinez sources, dates, détections, infrastructure et enrichissements avant de bloquer ou d’escalader.
6. Rédigez la conclusion d’incident. Notez les indicateurs qui ont motivé la décision et ceux qui restent non résolus.

Cet ordre maintient le score agrégé dans son vrai rôle : une aide à la priorisation, pas une commande automatique de confinement.

Avant d’agir, utilisez le guide des Sources pour distinguer une confirmation indépendante de données répétées depuis la même origine.

Trois workflows composites utiles

Phishing et smishing

Regroupez l’expéditeur, les domaines, les URL, les numéros de téléphone et le wallet de paiement. La vue combinée montre rapidement si le message contient un pivot suspect isolé ou un ensemble coordonné d’infrastructure malveillante.

Livraison de malware

Regroupez le hash de la pièce jointe, l’URL de téléchargement, le domaine hôte et l’IP de destination. Vous reliez ainsi le verdict du payload à son chemin de livraison et aidez l’analyste à décider quels contrôles mettre à jour.

Enrichissement d’alerte

Regroupez les observables d’une alerte SIEM ou EDR avant de créer un dossier. L’enquêteur reçoit un ensemble de preuves cadré au lieu d’une collection de captures d’écran. Conservez le chemin de recherche dans l’historique des rapports et priorisez le travail confirmé dans les Alertes et le Centre d’actions.

Savoir quand passer à l’automatisation

Les rapports composites sont conçus pour des ensembles à taille humaine où la relation entre indicateurs compte. Si la source produit des centaines de valeurs, utilisez le workflow de recherche en masse ou l’API Lookup. Ces chemins prennent en charge le travail d’ingénierie exigé par les gros traitements : normalisation, déduplication, découpage, cache, réessais et orientation en aval.

Pour un message, une alerte ou une note d’incident, gardez l’humain dans la boucle. Ouvrez Smart Lookup, vérifiez ensemble les indicateurs liés, puis passez du signal combiné aux preuves qui soutiennent la décision.