Renseignement sur les menaces.

Le renseignement sur les menaces (threat intelligence) est la collecte, le traitement, l'analyse et la diffusion structurés d'informations sur les adversaires, leurs motivations, capacités et infrastructures. Il transforme des données brutes (échantillons de malware, IP, domaines, identifiants exposés, chatter du dark web, rapports de vulnérabilités) en renseignement actionnable en ajoutant du contexte, un niveau de confiance et un public pertinent. La plupart des programmes appliquent une forme du cycle du renseignement — orientation, collecte, traitement, analyse, diffusion et retour d'expérience — afin que le résultat soit lié à des décisions concrètes plutôt qu'à des flux bruts.

Un modèle de priorisation utile est la Pyramid of Pain (pyramide de la douleur) de David Bianco (2013) : les indicateurs sont classés selon la difficulté qu'un adversaire aurait à les modifier. Les valeurs de hachage et les adresses IP se trouvent à la base (aisément renouvelées), puis les noms de domaine, les artefacts hôte et réseau, les outils et, enfin, les TTP au sommet — des comportements qu'un acteur ne peut abandonner facilement. Détecter au niveau des TTP (mappées sur MITRE ATT&CK) impose un coût bien plus élevé que bloquer une IP jetable. Les organisations échangent du renseignement via des formats et flux structurés — STIX/TAXII, MISP, rapports d'éditeurs et ISAC sectoriels — afin d'enrichir les détections SIEM et EDR, guider le patching (par exemple en corrélant les entrées du CISA KEV avec les actifs exposés) et éclairer les décisions de risque de la direction. Le renseignement est généralement classé par public et horizon temporel en niveaux stratégique, opérationnel et tactique ; la valeur de la discipline dépend de la pertinence, de la rapidité et de l'exactitude, non du volume d'indicateurs.

flowchart LR
  A[Orientation<br/>besoins de renseignement] --> B[Collecte<br/>flux, OSINT, dark web]
  B --> C[Traitement<br/>normaliser, dédupliquer]
  C --> D[Analyse<br/>contexte, attribution, ATT&CK]
  D --> E[Diffusion<br/>STIX/TAXII, TIP, rapports]
  E --> F[Consommateurs<br/>SIEM, EDR, IR, dirigeants]
  F --> A