Les flux de connaissances des cybermenaces : oui, mais...

Pour détecter des menaces, il y a d'un côté les journaux d'évènements qui, centralisés et corrélés, reflètent ce qu’il se passe dans une infrastructure. De l'autre, les règles de détection d'anomalies et les analystes qui doivent trier les alertes pour déterminer s'il s'agit d'une vraie menace (un vrai-positif) ou de bruit sans intérêt (un faux positif). Il est donc essentiel que les alertes soient les plus pertinentes possibles, afin d'éviter à l'analyste de passer trop de temps à trier de fausses alertes, au risque de louper une réelle menace.

Dans cet article, nous mettons l’accent sur la détection à base de flux de connaissances des cybermenaces (en anglais, feed). Ce type de détection n’est que la partie émergée de l’iceberg CTI (Cyber Threat Intelligence), celle consommable par les entreprises. Elle consiste à recevoir en continu des indicateurs de menace, afin de les croiser avec les évènements observés dans une infrastructure. Cela s…