La CTI, pour Cyber-Threat-Intelligence ou renseignement sur les menaces num\u00e9riques, est une discipline consistant \u00e0 am\u00e9liorer l\u2019anticipation des menaces. En ce sens, la CTI permet de:<\/p>\n\n\n\n
Une \u00e9quipe de CTI devra produire des rapports de renseignement actionnables. Ces rapports proposeront des solutions pour contrer des menaces plus ou moins imminentes et permettent d\u2019\u00e9viter en amont tout ou partie des attaques informatiques \u00e0 l’encontre d\u2019une entreprise.<\/p>\n\n\n\n
Pour \u00eatre consid\u00e9r\u00e9 comme \u00ab\u00a0actionnable\u00a0\u00bb, le renseignement doit \u00eatre livr\u00e9 en temps voulu et de mani\u00e8re \u00e0 ce qu’il puisse \u00eatre facilement compris et utilis\u00e9 par les analystes et les \u00e9quipes de d\u00e9fense op\u00e9rationnelles. Cela peut inclure la mise en place de correctifs de s\u00e9curit\u00e9, la modification des politiques de s\u00e9curit\u00e9, la configuration des r\u00e8gles de pare-feu, etc.<\/p>\n\n\n\n
Il est \u00e0 noter qu\u2019une cellule CTI sera diff\u00e9rente d\u2019une client\u00e8le \u00e0 une autre. Dans un contexte CTI, nous parlons bien de client\u00e8le dans le sens o\u00f9, avec le besoin d\u2019en conna\u00eetre, nos interlocuteurs doivent \u00eatre identifi\u00e9s.<\/p>\n\n\n\n
Toutes les soci\u00e9t\u00e9s sont singuli\u00e8res, les m\u00e9thodologies et pratiques sont donc adapt\u00e9es \u00e0 chaque entit\u00e9 selon ses besoins. Deux entreprises dans le m\u00eame secteur d\u2019activit\u00e9 et avec un chiffre d’affaires similaire auront des processus de CTI diff\u00e9rents. Nous pourrons notamment expliquer cela par leurs impl\u00e9mentations sur diff\u00e9rents territoires dans divers pays, mais aussi le passif de certains employ\u00e9s et VIP, l\u2019exposition \u00e0 la communication, la surface d’attaque disponible, et encore bien d\u2019autres facteurs.<\/p>\n\n\n\n
La s\u00e9curit\u00e9 aujourd\u2019hui est essentiellement bas\u00e9e sur des blocages d\u2019artefacts \u00e0 l\u2019aveugle et des r\u00e8gles de d\u00e9tection (adresses IP, noms de domaines, hash de fichier\u2026). Nous parlons ici de s\u00e9curit\u00e9 r\u00e9active. Il est souvent fastidieux de faire face \u00e0 toutes les alertes de s\u00e9curit\u00e9, provoquant de la fatigue due au nombre cons\u00e9quent de faux positifs qui doivent \u00eatre trait\u00e9s par les \u00e9quipes de d\u00e9fense.<\/p>\n\n\n\n
Il est int\u00e9ressant d’avoir des tableaux de bord indiquant le nombre d’incidents de s\u00e9curit\u00e9 \u00e9vit\u00e9s afin de pouvoir \u00e9valuer la pertinence des r\u00e8gles mises en place. Pour autant, un assaillant qui n\u2019aura pas r\u00e9ussi \u00e0 ex\u00e9cuter une de ses techniques, n\u2019h\u00e9sitera pas \u00e0 en utiliser une autre afin d\u2019atteindre son but. Par exemple en changeant son adresse IP, son nom de domaine ou le code d\u2019un logiciel malveillant dans le but de modifier son hash.
<\/p>\n\n\n\n
Qui sont les attaquants ?<\/p>\n\n\n\n
Quelles sont les autres techniques qu\u2019ils utilisent ?<\/p>\n\n\n\n
Pourquoi sommes-nous cibl\u00e9s ?<\/p>\n\n\n\n
Sommes-nous l’unique cible ou s’agit-il d’une campagne plus large ? <\/p>\n\n\n\n
Comment un attaquant pourrait-il avoir acc\u00e8s \u00e0 ces donn\u00e9es ?<\/p>\n\n\n\n
Voici les questions auxquelles la CTI tente de r\u00e9pondre. <\/p>\n\n\n\n
Cette s\u00e9rie d’articles permettra de d\u00e9couvrir ce qu\u2019est la CTI. Nous expliquerons comment, d\u2019une mani\u00e8re g\u00e9n\u00e9rale, une \u00e9quipe de CTI peut mener \u00e0 bien l\u2019anticipation des menaces. <\/p>\n\n\n\n
Dans un premier temps, nous aborderons le th\u00e8me des \u201cfeeds\u201d de CTI. Ces \u201cfeed\u201d sont des flux d\u2019informations plus ou moins r\u00e9guliers qui viennent alimenter les \u00e9quipes de CTI et de SOC (Security Operation Center). Ces flux (souvent payants) fournissent des donn\u00e9es telles que des IPs, des noms de domaines ou encore des hashs de fichiers et plus rarement, des fichiers de r\u00e8gles (YARA, SIGMA, SNORT, \u2026) directement actionnables. Ces donn\u00e9es sont issues de sondes, d\u2019analyses de malwares, de campagnes malveillantes et peuvent repr\u00e9senter des milliers d\u2019IoCs (Indicator of Compromise) par jour.<\/p>\n\n\n\n
Ce flux d\u2019informations est une aide pr\u00e9cieuse pour stopper les assauts. En revanche, en vue du volume important d\u2019informations, tout bloquer semble impossible et irr\u00e9alisable. Si, par exemple, un serveur mutualis\u00e9 (un serveur h\u00e9bergeant plusieurs sites internet de plusieurs clients) est utilis\u00e9 durant une attaque, bannir l\u2019IP de ce serveur reviendrait \u00e0 ostraciser toute la client\u00e8le \u00e9tant h\u00e9berg\u00e9e sur celui-ci. Vous pouvez bien entrevoir le probl\u00e8me si cette IP appartient \u00e0 un organisme de type AWS, Google ou OVH.<\/p>\n\n\n\n
En l\u2019\u00e9tat, ces informations n\u2019ont pas de grande valeur ajout\u00e9e. Les analystes CTI doivent les transformer en renseignement. Pour ce faire, ces informations doivent \u00eatre contextualis\u00e9es et intentionnalis\u00e9es. <\/p>\n\n\n\n
Prenons l\u2019exemple du c\u00e9l\u00e8bre logiciel malveillant Stuxnet. Ce logiciel malveillant avait pour objectif de viser les syst\u00e8mes d’exploitation Windows, en particulier les syst\u00e8mes SCADA industriels utilis\u00e9s pour le contr\u00f4le et la commande des proc\u00e9d\u00e9s industriels. Il \u00e9tait capable de reprogrammer les automates programmables industriels (API) produits par Siemens, tout en cachant les modifications apport\u00e9es.<\/p>\n\n\n\n
Les informations recueillies, dont les IoCs, que nous pouvons recevoir concernant ce logiciel malveillant n\u2019ont de pertinence que pour les entit\u00e9s ayant en leur sein des assets de ce type. Dans un contexte sans syst\u00e8mes industriels, ces informations sont donc inutiles.<\/p>\n\n\n\n
C\u2019est pourquoi il est important de comprendre que du renseignement pour une entreprise peut \u00eatre consid\u00e9r\u00e9 comme de l\u2019information pour une autre. <\/p>\n\n\n\n
Nous pourrons distinguer 4 cat\u00e9gories de renseignement :<\/p>\n\n\n\n
Le renseignement technique<\/strong> regroupe tout type de renseignement comportant des indicateurs de compromission (IoC). Il sera essentiellement \u00e0 destination des \u00e9quipes de SOC. Ces rapports de renseignements seront donc les plus courants, devant comporter des indicateurs permettant le blocage et la supervision.<\/p>\n\n\n\n Le renseignement tactique<\/strong> consiste en la cr\u00e9ation de cartes de renseignement sur les attaquants contenant diverses informations telles que:<\/p>\n\n\n\n Ces rapports sont \u00e0 l’intention des \u00e9quipes IRT (Incident Response Team), de gestion des vuln\u00e9rabilit\u00e9s et d\u2019analyse de risque. Ils permettent de conna\u00eetre les attaquants potentiels et d\u2019assurer une protection pr\u00e9ventive vis-\u00e0-vis de leurs techniques. Ils servent \u00e9galement lors d’un incident de s\u00e9curit\u00e9, pour pouvoir effectuer une attribution de l’attaque afin de mettre en \u00e9vidence les proc\u00e9d\u00e9s qui auraient pu \u00eatre utilis\u00e9s et acc\u00e9l\u00e9rer le processus de r\u00e9ponse \u00e0 incident. <\/p>\n\n\n\n Le renseignement op\u00e9rationnel<\/strong> consiste en l’\u00e9tude des attaques ayant \u00e9t\u00e9 r\u00e9alis\u00e9es \u00e0 l’encontre du secteur industriel. Les analystes CTI pourront d\u00e9terminer les statistiques d\u2019attaques subies par des soci\u00e9t\u00e9s du m\u00eame secteur d’activit\u00e9. Il est possible de surveiller les attaques sur tout un pays si cela est n\u00e9cessaire. D\u00e8s lors, les analystes pourront \u00e9valuer le degr\u00e9 de risque pour une soci\u00e9t\u00e9 ainsi que la probabilit\u00e9 qu\u2019elle devienne une cible. La r\u00e9cup\u00e9ration de renseignements concernant ces agressions est \u00e9galement essentielle. En cas d\u2019attaque, il est important de partager les connaissances sur les agresseurs afin de pouvoir prot\u00e9ger l’enti\u00e8ret\u00e9 du secteur industriel. Ces \u00e9changes se font au travers de groupes que nous nommons ISAC (Information Sharing & Analysis Center). Ces rapports sont \u00e0 l’intention des \u00e9quipes d’analyses de risques, mais \u00e9galement au management de la s\u00e9curit\u00e9.<\/p>\n\n\n\n Enfin, le renseignement strat\u00e9gique<\/strong> permet d’\u00e9tablir des tendances dans les attaques et ainsi pr\u00e9dire les techniques qui seront les plus employ\u00e9es dans un futur proche. Par exemple, les outils utilis\u00e9s pour les audits de s\u00e9curit\u00e9 de type Red Team, tels que \u00ab\u00a0cobalt-strike\u00a0\u00bb ou \u00ab\u00a0brute-ratel\u00a0\u00bb, sont de plus en plus partag\u00e9s et vendus dans les sph\u00e8res du cybercrime. Ou encore, les compromissions de compte de messagerie, aussi appel\u00e9 Business Email Compromise (BEC), sont de plus en plus courantes dans le domaine de la fraude. Ces rapports seront \u00e0 l\u2019intention des \u00e9quipes de management de la s\u00e9curit\u00e9. <\/p>\n\n\n\n En conclusion, la CTI est une m\u00e9thode permettant l’anticipation des menaces. Gr\u00e2ce \u00e0 l\u2019\u00e9tude des attaques pass\u00e9es et pr\u00e9sentes sur l’entreprise et sur le secteur industriel, octroyant une meilleure connaissance des attaquants et de leur modus operandi. La CTI est une discipline transverse entre les \u00e9quipes de s\u00e9curit\u00e9 op\u00e9rationnelle (SOC, IRT), de gestion des vuln\u00e9rabilit\u00e9s, d’analyse de risque, et de management de la s\u00e9curit\u00e9. Les rapports r\u00e9dig\u00e9s par les analystes doivent \u00eatre actionnables, autrement dit ils doivent mener \u00e0 des actions concr\u00e8tes justifiant la s\u00e9curisation de l’entreprise. Les informations obtenues \u00e0 travers les flux d’informations (feed) doivent \u00eatre enrichies afin de les transformer en renseignement. <\/p>\n\n\n\n Dans le prochain article, nous parlerons de la m\u00e9thodologie d’analyse en renseignement sur les menaces num\u00e9riques, ainsi que les outils permettant de normaliser le renseignement. <\/p>\n\n\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" Qu’est-ce que la CTI ? La CTI, pour Cyber-Threat-Intelligence ou renseignement sur les menaces num\u00e9riques, est une discipline consistant \u00e0 am\u00e9liorer l\u2019anticipation des menaces. En ce sens, la CTI permet de: Une \u00e9quipe de CTI devra produire des rapports de renseignement actionnables. Ces rapports proposeront des solutions pour contrer des menaces plus ou moins imminentes […]<\/p>\n","protected":false},"featured_media":0,"template":"","categories":[5978],"tags":[],"industry":[],"class_list":["post-236439","expert-view","type-expert-view","status-publish","hentry","category-cert"],"acf":[],"cards":"\n\t\n