TheHive

Définition

TheHive est une plateforme open source de réponse aux incidents et de gestion de cas (case management) conçue spécifiquement pour les besoins opérationnels des équipes SOC et CSIRT, structurant le traitement d'un incident de sécurité depuis sa détection initiale jusqu'à sa clôture au sein d'un flux de travail collaboratif et traçable, plutôt que la gestion informelle par email ou tableur encore fréquente dans des organisations moins matures. La plateforme organise le travail autour de plusieurs entités structurantes : les alertes, généralement importées automatiquement depuis un SIEM ou une plateforme de threat intelligence, qui peuvent être promues en cas d'investigation formelle lorsqu'elles s'avèrent pertinentes ; les cas, qui regroupent l'ensemble du travail d'investigation mené sur un incident donné, décomposé en tâches assignables à différents membres de l'équipe pour un suivi de progression collaboratif ; et les observables, éléments techniques concrets rattachés à un cas, adresses IP, hachages de fichiers, domaines, dont le statut peut être marqué comme indicateur de compromission (IOC) confirmé. TheHive s'intègre nativement avec MISP, plateforme de partage de threat intelligence, pour l'import automatique d'indicateurs et l'export d'observables identifiés localement vers la communauté, ainsi qu'avec Cortex, moteur d'analyse développé par la même équipe, qui automatise l'enrichissement des observables via des requêtes à des services tiers comme VirusTotal ou Shodan.