Une alerte du CERT-FR liste 40 adresses IP, 15 noms de domaine et 30 empreintes de fichiers liés à une campagne en cours. Faut-il tout bloquer ? Tout rechercher ? Et que faire des milliers d’indicateurs qui arrivent chaque jour par les flux gratuits ? Mal exploitée, la threat intelligence (renseignement sur la menace) produit surtout des fausses alertes et de la fatigue. Bien exploitée, elle permet de savoir en quelques minutes si une attaque médiatisée vous a touché. Voici une méthode réaliste pour une PME ou une collectivité.
L’essentiel en 30 secondes
- Un indicateur de compromission (IoC) est une trace technique d’une attaque : empreinte de fichier, adresse IP, domaine, URL, nom de fichier, clé de registre.
- Tous ne se valent pas : une empreinte est fiable mais facile à changer pour l’attaquant ; une adresse IP vieillit en quelques jours.
- Privilégiez la recherche rétroactive dans vos journaux à partir de sources fiables, plutôt que le blocage aveugle de flux massifs.
- Chaque indicateur doit avoir une source, une date, un niveau de confiance et une date d’expiration.
Tous les indicateurs ne se valent pas
La « pyramide de la douleur », proposée par David Bianco, classe les indicateurs selon l’effort qu’il faut à l’attaquant pour les changer :
| Type | Durée de vie utile | Risque de faux positif | Usage recommandé |
|---|---|---|---|
| Empreinte de fichier (SHA-256) | Longue pour le fichier visé, nulle pour ses variantes | Très faible | Recherche sur les postes et serveurs, blocage dans l’EDR |
| Adresse IP | Quelques heures à quelques semaines | Élevé (hébergements partagés, CDN, VPN) | Recherche rétroactive, blocage temporaire seulement si la source est fiable |
| Nom de domaine | Quelques jours à quelques mois | Moyen (domaines compromis légitimes) | Filtrage DNS, recherche dans les journaux DNS et proxy |
| URL complète | Courte | Faible | Filtrage web, recherche dans les journaux de messagerie |
| Artefacts système (noms de service, tâches, clés de registre) | Moyenne | Moyen | Chasse sur le parc |
| Comportements et techniques (TTP) | Longue | Variable | Règles de détection (Sigma, EDR) |
Exemple en 2026 : lors de l’exploitation active de la faille Netlogon CVE-2026-41089, signalée fin mai par le Centre pour la cybersécurité Belgique, les conseils les plus utiles n’étaient pas des adresses IP, mais des comportements à surveiller : redémarrages inattendus du service Netlogon et trafic Netlogon provenant de machines qui ne sont pas des contrôleurs de domaine.
Les sources à privilégier
- CERT-FR (ANSSI) : alertes, avis et rapports sur les menaces, souvent accompagnés d’indicateurs.
- Catalogue KEV de la CISA : les vulnérabilités effectivement exploitées, pour prioriser les correctifs.
- abuse.ch : URLhaus (URL malveillantes), MalwareBazaar (échantillons), ThreatFox (indicateurs), Feodo Tracker (serveurs de commande de botnets), gratuits et maintenus.
- Vos éditeurs (EDR, pare-feu, messagerie) et, le cas échéant, votre CSIRT régional ou sectoriel.
- Vos propres incidents : les indicateurs observés chez vous sont les plus pertinents de tous.
Une méthode pour éviter les fausses alertes
- Qualifier avant d’importer : source, date de première observation, contexte (quelle campagne, quel secteur).
- Exclure le bruit connu : listes d’autorisation pour les plages des grands fournisseurs (Microsoft, Google, CDN), les résolveurs DNS publics et vos propres adresses.
- Fixer une expiration : 30 jours pour une IP, 90 jours pour un domaine, par exemple. Un indicateur expiré ne doit plus alerter.
- Rechercher avant de bloquer : la question prioritaire est « avons-nous déjà été en contact ? ». Cherchez sur les 90 derniers jours de journaux de pare-feu, DNS, proxy et messagerie.
- Bloquer avec discernement : bloquer une empreinte ne coûte rien ; bloquer une IP partagée peut couper un service légitime.
- Documenter les correspondances : une correspondance n’est pas une compromission. Il faut vérifier le contexte (connexion entrante bloquée ou connexion sortante réussie ?).
Les outils
Pour une petite structure, un tableur et des recherches ponctuelles dans les journaux suffisent au début. Au-delà :
- MISP, plateforme open source de partage d’indicateurs, gère la déduplication, l’expiration et l’export vers pare-feu, DNS et SIEM ;
- OpenCTI, développé par la société française Filigran, structure le renseignement (acteurs, campagnes, techniques) au format STIX ;
- votre SIEM ou Wazuh pour croiser automatiquement indicateurs et journaux ;
- un scan YARA pour rechercher des familles de fichiers plutôt que des empreintes exactes.
Questions fréquentes
Une PME a-t-elle besoin de threat intelligence ?
Pas d’une équipe dédiée, mais d’un réflexe : lorsqu’une alerte majeure concerne un produit que vous utilisez, vérifier la présence des indicateurs publiés dans vos journaux et appliquer les correctifs.
Faut-il s’abonner à un flux payant ?
Rarement au départ. Les sources publiques et celles de vos éditeurs couvrent l’essentiel. Un flux payant se justifie lorsque vous disposez d’une équipe capable de l’exploiter.
Que faire si un indicateur correspond ?
Vérifier le contexte, identifier la machine concernée, et en cas de doute traiter comme un incident : voir le playbook des 60 premières minutes.
Peut-on partager ses propres indicateurs ?
Oui, et c’est utile à tous, à condition de retirer les informations internes. Les CSIRT régionaux et les communautés MISP sectorielles facilitent ce partage.
Sources
- CERT-FR (ANSSI), alertes, avis et rapports de menace.
- Help Net Security, exploitation active de CVE-2026-41089 (Netlogon), 1er juin 2026.
- abuse.ch, URLhaus, MalwareBazaar, ThreatFox et Feodo Tracker.
- MISP, plateforme open source de partage de renseignement.
- CISA, catalogue des vulnérabilités exploitées (KEV).
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous aidons à exploiter les alertes de sécurité dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
