Renseignements sur les menaces
Les renseignements sur les menaces ne sont utiles que dans la mesure où ils sont précis. Un flux d’indicateurs génériques pouvant s’appliquer à n’importe qui ne vous apporte pratiquement aucune information exploitable. Ce qui est réellement utile, c’est de savoir quels acteurs malveillants ciblent des organisations comme la vôtre, quelles techniques ils utilisent actuellement et ce que cela implique pour les systèmes spécifiques que vous exploitez.
Cela signifie que le travail commence par votre contexte, et non par le tableau de bord d’un fournisseur. Votre secteur d’activité, votre situation géographique, la technologie que vous utilisez et votre surface d’attaque réelle déterminent tous les éléments auxquels il convient de prêter attention. Un détaillant et un sous-traitant du secteur de la défense ne devraient pas consulter le même flux d’informations sur les menaces en leur attribuant la même pondération de priorité.
Concrètement, cela se traduit comme suit
Je recense les informations pertinentes par rapport à votre profil de risque spécifique et je les traduis en éléments concrets que votre équipe peut réellement exploiter — non pas une simple liste d’indicateurs de compromission (IOC), mais une réponse à la question « cela nous concerne-t-il, et que devons-nous faire à ce sujet ? ». Cela peut signifier signaler une nouvelle technique utilisée contre votre secteur d’activité avant même qu’elle n’apparaisse dans vos journaux, ou confirmer qu’une vulnérabilité largement relayée n’affecte en réalité aucun de vos systèmes, ce qui est tout aussi utile à savoir.
Les renseignements qui ne modifient pas une décision ne valent pas la peine d’être recueillis. Le critère que j’applique à tout ce que je vous présente est simple : cela modifie-t-il les correctifs que vous appliquez, ce que vous surveillez ou ce que vous communiquez à votre conseil d’administration ce trimestre ? Si ce n’est pas le cas, ce n’est que du bruit, aussi intéressant que cela puisse paraître.
Liens avec le reste de votre programme
Les renseignements sur les menaces sont particulièrement utiles lorsqu’ils alimentent directement les règles de détection, la hiérarchisation des correctifs et la planification de la réponse aux incidents — et non lorsqu’ils restent confinés dans un rapport que personne ne lit au-delà de la première semaine. Je conçois ce système pour qu’il s’intègre à tout ce que vous utilisez déjà, plutôt que de devenir une source d’informations supplémentaire isolée.
Si vous souhaitez disposer d’informations réellement adaptées à votre environnement plutôt que de simples données génériques, n’hésitez pas à nous contacter.