Sources de threat intelligence : évaluer les preuves avant d’agir

Un nombre de détections n’est pas un score de confiance. Dix flux peuvent répéter une seule observation amont, tandis qu’une source spécialisée peut apporter une preuve directe et récente absente de toutes les autres.

L’espace Sources d’isMalicious rend cette distinction visible. Il associe un annuaire interrogeable à la fraîcheur, la couverture, la contribution unique, l’accord et le renseignement sur les sources. La vue Patterns montre ensuite ce que ces sources révèlent à l’échelle du corpus.

Cette démarche suit le NIST SP 800-150, qui recommande d’identifier les sources de renseignement, de définir les objectifs de partage et d’exploiter efficacement les informations obtenues. Le choix et l’évaluation des sources appartiennent à l’analyse. Ils ne sont pas un détail d’approvisionnement masqué derrière le verdict.

Lire l’annuaire comme contexte des preuves

Chaque ligne décrit plus qu’un nom. Selon la télémétrie disponible, vous pouvez examiner :

• le type d’entité couvert ;
• la catégorie, le pack, le fournisseur et l’état ;
• l’âge de la dernière mise à jour ;
• le nombre total d’entités et la répartition IP/domaines ;
• les entités attribuées uniquement à ce flux ;
• la part représentée par cette couverture unique ;
• le lien vers la source elle-même.

Les filtres limitent l’affichage par type, catégorie, pack ou mot-clé. Ce point compte lorsque l’enquête concerne une classe de preuve précise. Un flux de hash malveillants, une liste d’abus de domaines, une source CVE et une source crypto répondent à des questions différentes, même s’ils contribuent au même rapport.

Séparer couverture et contribution

La couverture demande quelle quantité de données apporte un flux. La contribution unique demande quelle part de ces données provient uniquement de ce flux dans le corpus actuel.

Un flux volumineux sans entité unique peut rester utile pour la confirmation, la résilience ou la cadence de mise à jour. Un flux plus petit avec une forte part unique peut révéler une niche ignorée des sources généralistes. Aucune de ces mesures ne prouve seule l’exactitude.

Utilisez-les ensemble pour poser de meilleures questions :

• La source est-elle généraliste, spécialisée ou principalement confirmatoire ?
• Ajoute-t-elle une visibilité distincte ?
• Sa couverture unique concerne-t-elle nos actifs et menaces ?
• L’information est-elle assez fraîche pour la décision ?
• Peut-on remonter jusqu’au fournisseur d’origine ?

Un indicateur d’écho invite à examiner la provenance. Il ne justifie pas automatiquement d’écarter la source.

Rechercher un accord indépendant

L’accord devient significatif lorsque les sources sont réellement indépendantes. Plusieurs listes peuvent ingérer le même flux amont, copier le même rapport ou publier la même contribution communautaire.

Les cartes de renseignement sur les sources permettent d’examiner les détections multi-sources et l’accord avec la fraîcheur et la contribution. Utilisez ce contexte avant d’escalader un résultat de Recherche intelligente.

Pour une décision à fort impact, ouvrez les liens et vérifiez l’assertion de chaque source. L’une peut signaler une association historique, une autre une activité malveillante actuelle et une troisième une simple catégorie. Compter ces trois éléments comme des « votes » identiques effacerait des différences essentielles.

Passer des sources aux tendances globales

L’ancien espace Intelligence vit désormais dans l’onglet Patterns des Menaces. Cette vue agrège plusieurs angles :

• répartition des catégories et entités ;
• détections multi-sources ;
• principales familles de malwares et types de menaces ;
• campagnes actives ;
• renseignement réseau ;
• tendances de vulnérabilités ;
• tendances de domaines et d’enregistrement ;
• état des certificats.

Les patterns servent à formuler une hypothèse. Ils ne prouvent pas qu’une entité donnée est malveillante. Si les tendances d’enregistrement révèlent un changement parmi les domaines récents, utilisez ce signal pour choisir l’enquête, puis revenez au rapport de l’entité et à ses sources.

Le guide du tableau des menaces explique comment relier ces tendances aux secteurs, acteurs, malwares et victimes.

Appliquer un contrôle en cinq questions

Avant une décision de blocage, confinement ou escalade, demandez :

1. Pertinence : la source parle-t-elle directement de cette entité et de l’activité recherchée ?
2. Récence : quand a-t-elle observé ou actualisé la preuve ?
3. Provenance : est-elle l’observateur d’origine, un transformateur ou un republicateur ?
4. Indépendance : les sources de soutien reposent-elles sur des observations séparées ?
5. Exploitabilité : la preuve justifie-t-elle l’action proposée pour cet actif et ce contexte métier ?

Consignez des réponses courtes dans l’alerte ou le dossier. Un autre analyste doit pouvoir reproduire la décision sans deviner quel badge vert ou rouge pesait le plus.

Relier la qualité des sources au workflow de réponse

Utilisez les sources pendant toute l’enquête :

1. Repérez un changement dans les Menaces et Patterns.
2. Ouvrez l’entité dans la Recherche intelligente.
3. Examinez la fraîcheur, la contribution et l’accord des sources.
4. Gardez les indicateurs liés dans un rapport composite.
5. Transmettez le résultat validé aux Alertes et au Centre d’actions.
6. Conservez les preuves et le raisonnement dans l’historique ou un dossier.

Cette séquence évite deux erreurs opposées : accorder le même poids à tous les flux et rejeter un résultat parce qu’une seule source spécialisée l’a observé.

Faire de la revue des sources une habitude

La qualité des sources change. Des flux vieillissent, des fournisseurs modifient leur format, la couverture évolue et une liste autrefois distinctive peut devenir l’écho d’autres collections. Utilisez le contrôle d’actualisation et revoyez régulièrement l’annuaire, surtout avant d’utiliser une source pour un blocage automatisé.

Le but n’est pas de trouver un flux parfait. Il consiste à comprendre la contribution de chaque source, les zones d’accord indépendant et la manière dont le renseignement combiné soutient une décision précise.