« Flux à la pomme, à la fraise, au chocolat, chouchous », les offres sont nombreuses et variées. C’est quoi ? À quoi ça sert ? On clique et on y est ?
Pour détecter des menaces, il y a d'un côté les journaux d'évènements qui, centralisés et corrélés, reflètent ce qu’il se passe dans une infrastructure. De l'autre, les règles de détection d'anomalies et les analystes qui doivent trier les alertes pour déterminer s'il s'agit d'une vraie menace (un vrai-positif) ou de bruit sans intérêt (un faux positif). Il est donc essentiel que les alertes soient les plus pertinentes possibles, afin d'éviter à l'analyste de passer trop de temps à trier de fausses alertes, au risque de louper une réelle menace.
Dans cet article, nous mettons l’accent sur la détection à base de flux de connaissances des cybermenaces (en anglais, feed). Ce type de détection n’est que la partie émergée de l’iceberg CTI (Cyber Threat Intelligence), celle consommable par les entreprises. Elle consiste à recevoir en continu des indicateurs de menace, afin de les croiser avec les évènements observés dans une infrastructure. Cela...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
[Abuse.ch] https://urlhaus.abuse.ch/browse/
[FireHOL] http://iplists.firehol.org/
[Log4Shell] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-022/
[Malpedia] https://malpedia.caad.fkie.fraunhofer.de/library
[MISP1] https://www.misp-project.org/
[MISP2] https://github.com/MISP/misp-warninglists
[OpenPhish] https://openphish.com/
[PhishTank] https://phishtank.org/
[ProxyShell] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-017/
