Pour réaliser au mieux ses missions, la Cyber Threat Intelligence (CTI) doit se nourrir d’investigations en source ouverte réalisées par des analystes stratégiques. Explorer le segment russophone d’Internet aide à mieux comprendre l’écosystème dans lequel les attaquants opèrent, mais peut aussi participer directement à la détection de leurs activités.
Si les métiers de la Cyber Threat Intelligence (CTI) se sont toujours appuyés sur des recherches en source ouverte, l’OSINT est encore trop rarement exploitée par les équipes de CTI dites stratégiques. Certaines techniques relativement triviales permettent pourtant d’étudier l’environnement des attaquants et de produire des analyses pertinentes pour évaluer la menace, donner du contexte sur des attaques ou alimenter la détection. En se focalisant ici sur le segment russophone d’Internet, cet article présente plusieurs méthodes visant à investiguer l’écosystème des attaquants de l'espace post-soviétique. Il détaille, en guise d’exemple, les résultats d'une investigation conduite autour d’un hébergeur situé dans la région séparatiste du Donbass.
1. Cyber Threat Intelligence & « Ru.net »
1.1 La CTI et ses différents niveaux d’analyse
La Cyber Threat Intelligence (CTI), parfois traduite en français par « renseignement sur les menaces...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première