Threat Intelligence DevSecOps

Définition

La Threat Intelligence DevSecOps est l'application des renseignements sur les menaces cyber (threat intelligence) aux décisions et priorités du programme de sécurité DevSecOps, permettant d'aligner les efforts de sécurité des équipes de développement sur les menaces réelles et actuelles ciblant des technologies similaires ou le secteur d'activité de l'organisation. Plutôt que de traiter toutes les vulnérabilités et menaces de manière égale, la threat intelligence guide la priorisation vers les risques les plus pertinents. Les sources de threat intelligence pertinentes pour le DevSecOps incluent : les flux de CVEs exploitées activement (CISA KEV — Known Exploited Vulnerabilities, EPSS scores), les rapports d'incidents de supply chain (Sonatype Annual State of the Software Supply Chain), les bulletins de sécurité des fournisseurs de la stack technologique de l'organisation, les flux d'intelligence sur les malwares ciblant les pipelines CI/CD (Palo Alto Unit 42, Crowdstrike Intelligence), et les partages d'information sectoriels (ISACs — Information Sharing and Analysis Centers — pour la finance, la santé, les infrastructures critiques). L'intégration de la threat intelligence dans les processus DevSecOps se manifeste concrètement de plusieurs manières. La priorisation des CVEs guidée par l'exploitation réelle (EPSS, KEV) a été évoquée dans l'article CVE Triage. L'adaptation du programme de scanning aux menaces actuelles : si les équipes de sécurité de la communauté détectent une vague d'attaques exploitant des vulnérabilités dans les containers Kubernetes, le programme de scan de sécurité doit immédiatement inclure des scans spécifiques à ces vecteurs, même si ces scans n'étaient pas prévus. L'évolution des règles SAST et DAST basée sur les nouvelles techniques d'attaque documentées dans les rapports de threat intelligence. Des plateformes de threat intelligence compatibles DevSecOps incluent : MITRE ATT&CK (framework des tactiques et techniques d'attaque — permet de cartographier les contrôles DevSecOps aux tactiques couvertes), OpenCTI (plateforme open source d'agrégation de threat intelligence), MISP (plateforme de partage de menaces), et les offres commerciales comme Recorded Future, ThreatConnect, et CrowdStrike Falcon Intelligence.