Flux de renseignement sur la menace

Définition

Un flux de renseignement sur la menace, ou threat intelligence feed, est un canal automatisé de diffusion continue d'informations relatives aux menaces cyber, telles que des indicateurs de compromission, des profils d'acteurs malveillants, des vulnérabilités exploitées activement ou des tendances d'attaque observées. Ces flux sont généralement structurés selon des formats standardisés facilitant l'interopérabilité entre outils, comme STIX pour la description structurée des objets de menace et TAXII pour leur transport automatisé entre plateformes. Les flux de renseignement sur la menace se distinguent par leur origine et leur nature : flux open source gratuits comme ceux publiés par des CERT nationaux ou des communautés de partage, flux commerciaux proposés par des éditeurs spécialisés offrant une couverture plus large et une meilleure fiabilité, et flux sectoriels échangés au sein d'organismes de partage d'information comme les ISAC. Leur intégration dans un SIEM, un EDR ou une plateforme de renseignement sur la menace permet un enrichissement automatique des alertes et une détection proactive basée sur des indicateurs récents. La qualité d'un flux de renseignement sur la menace se mesure à sa fraîcheur, sa pertinence sectorielle et géographique, son taux de faux positifs, et le contexte fourni au-delà de la simple donnée brute. Une gestion rigoureuse des flux, incluant le retrait des indicateurs obsolètes, est essentielle pour éviter de dégrader la performance des outils de détection.