Le renseignement sur les menaces est une information qui aide les équipes de défense à prendre de meilleures décisions. Il provient de nombreuses sources. Les flux open source collectent des indicateurs issus de rapports publics. Les fournisseurs commerciaux proposent des renseignements sélectionnés et contextualisés. Les associations professionnelles partagent des informations entre leurs membres. Les agences gouvernementales publient des avis de sécurité. Les données brutes comprennent les adresses IP, les noms de domaine, les empreintes numériques de fichiers et les tactiques des attaquants. La valeur réside dans l'analyse. Une adresse IP seule ne constitue pas un renseignement. Savoir que cette adresse IP appartient à un groupe de ransomware ciblant les établissements de santé en est un.

Le renseignement se décline en plusieurs niveaux. Le renseignement stratégique informe les dirigeants sur le paysage des menaces. Le renseignement opérationnel aide les responsables de la sécurité à planifier les défenses. Le renseignement tactique fournit aux analystes des indicateurs précis à bloquer. Le renseignement technique fournit les données brutes aux outils. Chaque niveau s'adresse à un public différent. Le défi réside dans le volume. Il y a trop de données sur les menaces et pas assez de contexte. Intégrer tous les indicateurs dans un pare-feu crée de faux positifs et bloque le trafic légitime. Les programmes de renseignement efficaces privilégient la pertinence. Quelles menaces sont importantes pour cette organisation ? Quels secteurs sont ciblés ? Quelles techniques sont utilisées ? Les réponses déterminent ce qu'il faut collecter et ce qu'il faut ignorer. Le renseignement ne consiste pas à tout savoir, mais à savoir ce qui est important.

Types de renseignements sur les menaces

• Tendances stratégiques de haut niveau pour les décideurs
• Opérationnel — Détails de la campagne pour les responsables de la sécurité
• Tactique — indicateurs de détection et de blocage
• Données techniques — données brutes pour les outils et l'automatisation

Le renseignement sur les menaces n'est utile que s'il permet de modifier une décision. Les données qui restent dans un flux sans jamais donner lieu à une action ne sont que du bruit.