Concevoir un programme de Cyber Threat Intelligence (CTI) véritablement efficace
John Barth
Global Service Lead, Mandiant Intelligence Program Development
Les cybermenaces évoluent en permanence et mettent les organisations sous pression constante. La Cyber Threat Intelligence (CTI) peut les aider à anticiper les attaques et à renforcer leur défense, mais beaucoup peinent encore à en faire un levier réellement opérationnel et à en tirer des mesures de sécurité directement actionnables.
La CTI convertit des données brutes en informations utiles à la décision. Elle permet de passer d’une posture de défense essentiellement réactive à une approche proactive : anticiper les modes d’attaque, comprendre les intentions des adversaires et ajuster les mécanismes de protection en fonction des menaces qui visent spécifiquement son entreprise.
Une large majorité des responsables sécurité et IT redoutent que des attaques passent entre les mailles du filet : selon une étude Forrester pour le compte de Google Cloud, publiée en juillet, 82 % estiment que leur organisation pourrait rater des cyberattaques. De la même manière, 72 % déclarent rester sur une posture encore largement réactive face aux menaces cyber.
Un programme de CTI bien structuré permet de valoriser les informations collectées et de produire une lecture vraiment exploitable du contexte de cybersécurité. Les organisations peuvent ainsi repérer plus tôt les signaux faibles, comprendre la nature des risques et intervenir avant qu’ils ne causent des dommages significatifs.
La CTI contribue à renforcer les opérations de sécurité de manière proactive : détection avancée, amélioration des contrôles de sécurité, threat hunting. Elle permet aussi d’optimiser la réaction aux incidents en accélérant la prise de décision, en limitant l’impact financier des attaques et en renforçant la résilience opérationnelle.
Si l’IA et l’automatisation jouent désormais un rôle essentiel pour renforcer les capacités de détection et d’analyse, elles ne constituent qu’une partie de la réponse. Leur efficacité dépend étroitement des équipes qui les utilisent et des processus qui les encadrent.
Comme pour toute initiative stratégique, la réussite d’un programme de CTI repose sur l’articulation cohérente de trois piliers fondamentaux : les personnes, les processus et la technologie.
Les trois piliers d’un programme CTI efficace
- Le facteur humain
Des équipes compétentes et dédiées sont essentielles à la réussite d’un programme de CTI. Les analystes, chercheurs et spécialistes de la communication maîtrisent les modes opératoires des attaquants, leurs motivations, ainsi que les risques propres à leur organisation. Ils disposent aussi des compétences métier nécessaires pour transformer la CTI en actions concrètes et l’adapter au contexte de l’organisation.
- Expertise : la CTI mobilise un ensemble de compétences variées à commencer par le sens de l’analyse et de l’investigation, la compréhension des enjeux métier, la maîtrise des fondamentaux techniques et la connaissance approfondie des menaces.
- Collaboration : les équipes CTI efficaces s’appuient sur une collaboration étroite interne avec les autres fonctions de sécurité (réponse à incident, opérations de sécurité, gestion des risques) mais aussi extérieure avec leurs homologues du secteur et les communautés de partage d’informations.
- Communication : facteur clé de la CTI, la capacité à rendre l’information complexe intelligible permet de transformer des éléments techniques en analyses claires et utiles, adaptées aussi bien aux équipes sécurité qu’aux dirigeants.
Sans professionnels expérimentés pour analyser les besoins, interpréter les données et ajuster les automatisations, même les technologies les plus avancées ou les processus les plus élaborés restent largement inefficaces.
- Le cadre opérationnel
Pour fonctionner de manière efficace et cohérente, le programme CTI a besoin de processus robustes qui définissent comment l’information est collectée, analysée, enrichie, diffusée et utilisée.
- Définition de la mission CTI : la direction générale doit sponsoriser et énoncer sans ambiguité la mission assignée au projet CTI en cadrant son rôle, ses pouvoirs d’action et les directions métiers qu’elle doit servir en priorité.
- Cycle de la CTI : définir un cycle de renseignement clair - planification, collecte, traitement, analyse, diffusion - est indispensable pour structurer la CTI et en faire une activité répétable, maîtrisée et utile aux décisions.
- Automatisation des workflows : les processus doivent intégrer l’automatisation chaque fois que c’est possible, afin d’éviter les tâches manuelles répétitives et permettre aux analystes CTI de se consacrer à l’analyse approfondie et la production d’information à forte valeur ajoutée.
- Boucles de rétroaction : des retours d’expérience réguliers sont essentiels pour affiner les priorités CTI, optimiser la collecte d’information et renforcer la qualité des analyses produites.
- Intégration : les processus CTI doivent s’articuler sans couture avec les autres fonctions de sécurité, pour nourrir directement les playbooks de réponse aux incidents, orienter la gestion des vulnérabilités et renforcer les programmes de sensibilisation à la sécurité.
De la même manière qu’une usine a besoin d’une chaîne de production bien définie, un programme CTI doit s’appuyer sur des processus structurés pour produire de la valeur de façon constante.
- Les outils au service de la CTI
La technologie joue un rôle déterminant : elle soutient les équipes et les processus qui font vivre un programme CTI. De nombreuses solutions existent pour collecter, stocker, analyser et diffuser les informations liées aux menaces.
- Threat Intelligence Platforms (TIP) : ces plateformes agrègent, normalisent et enrichissent les données de menace provenant de multiples sources, offrant ainsi un référentiel centralisé pour la CTI.
- Intelligence artificielle (IA) : l’IA peut renforcer la détection des menaces, automatiser l’analyse de volumes importants de données, identifier des anomalies et anticiper de possibles vecteurs d’attaque. Elle complète ainsi les capacités humaines à chaque étape du cycle CTI, tout en réduisant la charge opérationnelle et en améliorant l’efficacité des analystes.
- SIEM (Security Information and Event Management) et SOAR (Security Orchestration, Automation, and Response) : les équipes CTI doivent pouvoir exploiter ces outils internes pour disposer d’un contexte précis et temps réel sur les menaces qui pèsent sur l’organisation.
- Outils OSINT (Open-source Intelligence) : ces outils permettent de collecter des données publiques (sites web, réseaux sociaux, bases de données publiques, etc.) pour les transformer en données exploitables afin de détecter des menaces émergentes et suivre l’évolution des techniques utilisées par les attaquants.
- Outils d’analyse de malware : les experts CTI doivent disposer de solutions permettant l’analyse en sandbox de code malveillant.
La technologie n’est évidemment qu’un moyen, pas une fin en soi. Même les meilleurs outils ne servent à rien sans les bons profils et les bons processus pour en tirer parti. Sans ces derniers, les équipes CTI peineront à tirer un réel retour sur investissement de leurs outils et, par voie de conséquences, les dirigeants percevront un faible ROI de leurs équipes CTI.
L’équation gagnante d’une CTI efficace
Les programmes CTI efficaces s’appuient sur ces trois piliers fondamentaux. Les équipes utilisent la technologie au sein de processus clairement définis, ces derniers ayant été conçus et améliorés par les équipes, souvent avec l’appui d’outils technologiques adéquats et bien maîtrisés. La technologie permet d’exécuter ces processus plus rapidement et plus efficacement. Aucun de ces piliers ne prévaut sur les autres : la moindre faiblesse sur l’un des trois affecte la performance globale du programme.
« En investissant de manière cohérente dans leurs équipes, leurs processus et leurs technologies, les organisations peuvent bâtir un programme de CTI capable non seulement d’identifier les menaces, mais aussi de formuler des recommandations de sécurité réellement exploitables et d’ancrer une culture de sécurité proactive où les décisions sont prises sur la base d’informations fiables et contextualisées »
Ce principe va bien au-delà de la CTI : qu’il s’agisse de constituer une équipe commerciale, de développer un nouveau produit ou d’optimiser le service client, la combinaison de compétences adaptées, de processus structurés et d’outils pertinents demeure un facteur essentiel de réussite.
En investissant de manière cohérente dans leurs équipes, leurs processus et leurs technologies, les entreprises peuvent bâtir un programme CTI capable non seulement d’identifier les menaces, mais aussi de formuler des recommandations de sécurité exploitables tout en ancrant une culture de sécurité proactive, fondée sur des décisions éclairées. Un tel investissement, et le changement culturel qu’il implique, peut aider les organisations encore trop réactives à adopter une approche plus proactive.
Par où commencer ?
La mise en place d’une fonction de sécurité est toujours un travail de longue haleine. Pour amorcer la mise en œuvre de votre CTI, vous pouvez suivre les quelques étapes suivantes :
- Parlez à ceux que vous protégez : échangez régulièrement avec toutes les parties prenantes (à commencer par le SOC, les équipes de réponses aux incidents, les équipes de gestion des vulnérabilités, etc.) afin de comprendre leurs difficultés et leurs priorités.
- Comprendre votre paysage de menaces : effectuez des recherches en ligne pour identifier les cyberattaques et les menaces auxquelles sont confrontées des organisations similaires à la vôtre.
- Se former à la CTI : il existe de nombreuses ressources pour développer vos compétences en analyse CTI, notamment celles proposées par MITRE. Aux États-Unis, vous pouvez aussi vous former gratuitement sur la plateforme CISA Learning.
- Constituer un groupe de travail : identifiez, au sein de votre organisation des personnes intéressées par la CTI. Partagez des ressources, échangez sur les menaces émergentes et créez une dynamique autour du sujet.
Comment Mandiant peut vous aider
Notre service de conseil Mandiant avec son Intelligence Program Development (IPD) aide les organisations à développer des fonctionnalités CTI avancées. Nous analysons vos cas d’usage spécifiques et appliquons le cadre de référence éprouvé de Mandiant pour identifier les ressources humaines, les processus et les technologies nécessaires à une mise en œuvre opérationnelle et efficace de la CTI.
Mandiant Academy propose des formations pour les professionnels de la sécurité, dont plusieurs centrées sur l’exploitation et l’application efficaces de la CTI sur les menaces afin de renforcer les défenses tactiques et la posture de sécurité globale. Ces formations vous aident à construire un programme CTI cohérent, dans lequel des équipes compétentes s’appuient sur les bonnes technologies et sur des processus clairement définis, afin d’aligner votre fonction CTI sur les risques et les objectifs propres à votre organisation.
Google Threat Intelligence s’appuie sur une IA avancée : notre solution peut ainsi offrir une visibilité exceptionnelle sur les menaces émergentes ou en cours, ce qui nous permet de fournir des renseignements détaillés et actualisés aux équipes de sécurité du monde entier. Elle combine l’expertise opérationnelle de Mandiant, la portée mondiale de la communauté VirusTotal et une visibilité en profondeur que seule l’infrastructure de Google peut offrir.
Cette visibilité étendue sur les menaces les plus récentes permet aux équipes CTI d’adopter une approche plus proactive en comprenant les modes opératoires des attaquants, leurs tactiques, leurs techniques et leurs procédures mais aussi les indicateurs de compromission (IOC).
Pour en savoir plus sur la manière dont nous pouvons vous aider à atteindre vos objectifs CTI, planifiez dès aujourd’hui une consultation gratuite avec Mandiant.
