Que fait Analyse des flux de renseignement sur les menaces ?
Quand l'utiliser
Utilisez cette compétence lorsque :
- Vous ingérez de nouveaux flux de menaces commerciaux ou OSINT et évaluez leur rapport signal/bruit
- Vous normalisez des formats d'IOC hétérogènes (STIX 2.1, OpenIOC, YARA, Sigma) en un schéma unifié
- Vous évaluez la fraîcheur, la fidélité et la pertinence des flux par rapport au profil de menace de l'organisation
- Vous construisez des pipelines d'enrichissement automatisés qui corrèlent les IOC avec les événements SIEM
N'utilisez pas cette compétence pour l'analyse brute de captures de paquets ou le triage en direct d'incidents sans avoir d'abord établi une ligne de base CTI.
Prérequis
- Accès à une plateforme de renseignement sur les menaces (TIP) telle que ThreatConnect, MISP ou OpenCTI
- Clés API pour au moins un flux commercial (Recorded Future, Mandiant Advantage ou VirusTotal Enterprise)
- Bibliothèque cliente TAXII 2.1 (package Python taxii2-client ou équivalent)
- Rôle disposant des autorisations en lecture/écriture sur la base de données d'indicateurs de la TIP
Workflow
Étape 1 : Énumérer et prioriser les sources de flux
Listez toutes les sources de flux disponibles, classées par type (commercial, gouvernemental, ISAC, OSINT) :
- Commercial : Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence
- Gouvernemental : CISA AIS (Automated Indicator Sharing), FBI InfraGard, MS-ISAC
- OSINT : AlienVault OTX, Abuse.ch, PhishTank, Emerging Threats
Notez chaque flux sur : la fréquence de mise à jour, le taux de précision historique, la couverture de votre secteur et la profondeur de l'attribution. Utilisez une matrice de notation pondérée avec des critères issus du NIST SP 800-150 (Guide du partage d'informations sur les cybermenaces).
Étape 2 : Ingestion via TAXII 2.1 ou API
Pour les flux compatibles TAXII :
taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01
Pour les flux via API REST (ex. Recorded Future) :
- Interroger
/v2/indicator/searchavecrisk_score_min=65pour filtrer les IOC de faible confiance - Appliquer une limitation de débit et un backoff exponentiel pour la résilience de l'API
Étape 3 : Normalisation en STIX 2.1
Convertissez chaque IOC en objets STIX 2.1 en utilisant le schéma standard OASIS :
- Adresse IP → objet
indicatoravecpattern: "[ipv4-addr:value = '...']" - Domaine →
indicatoravecpattern: "[domain-name:value = '...']" - Empreinte de fichier →
indicatoravecpattern: "[file:hashes.SHA-256 = '...']"
Attachez des objets relationship liant les indicateurs à des objets threat-actor ou malware. Utilisez le champ confidence (0–100) basé sur la note de fidélité de la source.
Étape 4 : Déduplication et enrichissement
Exécutez la déduplication par rapport à la base de données TIP existante en utilisant la valeur normalisée et le type comme clé composite. Enrichissez les IOC restants :
- VirusTotal : ratio de détection, rapports de comportement en sandbox
- PassiveTotal (RiskIQ) : historique WHOIS, DNS passif, chaînes de certificats SSL
- Shodan : données de bannière, ports ouverts, localisation géographique
Étape 5 : Distribution vers les systèmes consommateurs
Exportez les indicateurs enrichis via la poussée TAXII 2.1 vers le SIEM (Splunk, Microsoft Sentinel), les pare-feu (playbooks Palo Alto XSOAR) et les plateformes EDR. Définissez la TTL (durée de vie) par type d'indicateur : adresses IP 30 jours, domaines 90 jours, empreintes de fichiers 1 an.
Concepts clés
| Terme | Définition |
|---|---|
| STIX 2.1 | Structured Threat Information Expression — schéma JSON standard OASIS pour les objets CTI, y compris les indicateurs, acteurs de menace, campagnes et relations |
| TAXII 2.1 | Trusted Automated eXchange of Intelligence Information — protocole basé sur HTTPS pour le partage de contenu STIX entre serveurs et clients |
| IOC | Indicator of Compromise — artefact observable (IP, domaine, empreinte, URL) qui indique qu'un système pourrait avoir été compromis |
| TLP | Traffic Light Protocol — classification par codes couleur (ROUGE/AMBRE/VERT/BLANC) définissant les restrictions de partage pour la CTI |
| Score de confiance | Valeur numérique (0–100 dans STIX) reflétant la certitude du producteur quant à l'attribution malveillante d'un indicateur |
| Fidélité du flux | Taux de précision historique d'un flux mesuré par le taux de vrais positifs dans les détections en production |
Outils et systèmes
- ThreatConnect TC Exchange : Agrège plus de 100 flux commerciaux et OSINT ; fournit des playbooks automatisés pour l'enrichissement des IOC
- MISP (Malware Information Sharing Platform) : TIP open source prenant en charge STIX/TAXII ; largement utilisé par les ISAC et les CERT gouvernementaux
- OpenCTI : Plateforme open source avec intégration native MITRE ATT&CK et visualisation graphique des relations
- Recorded Future : Flux commercial avec notation des risques basée sur l'IA et surveillance en temps réel du dark web
- taxii2-client : Bibliothèque Python pour les opérations client TAXII 2.0/2.1 (pip install taxii2-client)
- PyMISP : API Python pour la gestion des flux MISP et la soumission d'IOC
Pièges courants
- Vétusté des IOC : Les adresses IP et les domaines changent fréquemment ; appliquer des IOC vieux d'un an génère des faux positifs. Appliquez des politiques de TTL.
- Manque de contexte : Bloquer un IOC sans comprendre la campagne ou l'adversaire associé peut perturber le trafic légitime de l'entreprise (ex. adresses IP de CDN partagées avec des acteurs malveillants).
- Chevauchement des flux sans déduplication : Ingérer le même IOC à partir de cinq flux sans déduplication gonfle le nombre d'indicateurs et la complexité des règles SIEM.
- Violation de TLP : Redistribuer des informations classifiées ROUGE en dehors des limites autorisées viole les accords de partage et les relations de confiance.
- Sur-blocage sur des indicateurs de faible confiance : Les indicateurs avec une confiance inférieure à 50 doivent déclencher des règles de détection uniquement, et non un blocage, pour éviter les perturbations opérationnelles.