Plateforme de renseignement sur la menace

Définition

Une plateforme de renseignement sur la menace, ou Threat Intelligence Platform, est un système logiciel centralisant l'agrégation, la corrélation, l'enrichissement et la diffusion des données de renseignement sur les menaces cyber au sein d'une organisation. Elle collecte automatiquement des indicateurs de compromission et des rapports d'analyse issus de multiples flux de renseignement sur la menace, qu'ils soient open source, commerciaux ou sectoriels, puis les normalise selon des formats standardisés comme STIX, avant de les diffuser vers les outils de détection tels que le SIEM, l'EDR ou le pare-feu via le protocole TAXII ou des API dédiées. Une plateforme de renseignement sur la menace permet également de déduplicater les indicateurs, d'évaluer leur niveau de confiance et de fraîcheur, de contextualiser les menaces en fonction du secteur d'activité et de la surface d'exposition de l'organisation, et de faciliter la collaboration entre analystes via des fonctionnalités de partage et d'annotation collaborative. Les solutions les plus répandues incluent des plateformes open source comme MISP, largement utilisée par les CERT et les communautés de partage, ainsi que des solutions commerciales proposant des fonctionnalités avancées de scoring et d'automatisation. L'adoption d'une plateforme de renseignement sur la menace constitue un facteur de maturité important pour les équipes de sécurité, en particulier pour soutenir les activités de threat hunting, d'ingénierie de détection et de réponse à incident.