Threat Intelligence

Définition

La Threat Intelligence, ou renseignement sur les menaces, désigne le processus structuré de collecte, d'analyse, de contextualisation et de diffusion d'informations relatives aux menaces cybersécurité pesant sur une organisation ou son secteur d'activité, dans le but explicite d'anticiper les attaques et d'orienter concrètement les décisions de défense, plutôt que d'accumuler passivement des données brutes sans exploitation opérationnelle. Le renseignement se décline classiquement en plusieurs niveaux complémentaires : stratégique, destiné aux décideurs, portant sur les tendances sectorielles et géopolitiques des menaces ; tactique, décrivant les tactiques, techniques et procédures (TTP) employées par des groupes d'attaquants identifiés, généralement cartographiées selon le framework MITRE ATT&CK ; et opérationnel/technique, fournissant des indicateurs de compromission (IOC) directement exploitables par les outils de détection, adresses IP, hachages de fichiers, domaines de commande et contrôle. Les sources exploitées combinent des flux commerciaux, des plateformes open source comme MISP pour le partage structuré entre organisations, des CERT sectoriels et nationaux, et le renseignement issu de l'analyse d'incidents propres. La valeur du renseignement dépend directement de sa contextualisation : un IOC brut sans attribution ni compréhension du mode opératoire associé apporte une valeur limitée comparée à une analyse expliquant la motivation, la cible probable et les mesures de détection adaptées à un acteur de menace spécifique identifié.