Cyber Threat Intelligence Analyst : comprendre les attaquants pour mieux les anticiper

Qu’est-ce que la Cyber Threat Intelligence ?

L’analyste de la menace cyber, ou analyste CTI, a une mission qui tient en une phrase : transformer des informations sur les menaces en renseignement exploitable par son organisation.

Cette phrase mérite qu’on s’y arrête, car chaque mot compte. « Informations » : il en existe un volume considérable, publié chaque jour par des éditeurs, des chercheurs, des agences et des communautés. « Renseignement » : une information brute n’a pas de valeur tant qu’elle n’a pas été vérifiée, recoupée et mise en contexte. « Exploitable » : si le SOC ne peut rien en faire, l’exercice était inutile.

Un flux d’indicateurs que personne ne qualifie n’est pas de la CTI. C’est du bruit avec un nom flatteur.

Le référentiel européen ECSF publié par l’ENISA décrit le profil « Cyber Threat Intelligence Specialist » comme celui qui gère le cycle de vie du renseignement sur la menace : collecte d’informations, analyse, production de renseignement actionnable et diffusion aux parties prenantes de la sécurité ainsi qu’à la communauté CTI, aux niveaux tactique, opérationnel et stratégique. Il identifie et surveille les tactiques, techniques et procédures employées par les acteurs malveillants.

Les autres appellations

• CTI Analyst
• Threat Intelligence Analyst
• Cyber Intelligence Analyst
• Analyste renseignement cyber
• Cyber Threat Modeller
• Analyste veille sur la menace

Les quatre niveaux de renseignement

La CTI ne s’adresse pas à un seul public. Un même événement produit des livrables très différents selon le destinataire, et savoir écrire pour chacun d’eux fait partie du métier.

1. Niveau stratégique

   Destiné à la direction et au RSSI. Tendances de fond, acteurs actifs sur le secteur, évolution du risque, éléments d’aide à la décision budgétaire. Peu de technique, beaucoup de mise en perspective. Horizon : plusieurs mois.

2. Niveau opérationnel

   Destiné aux responsables sécurité. Campagnes en cours, acteurs qui ciblent l’organisation ou son secteur, intentions et capacités observées. Horizon : quelques semaines.

3. Niveau tactique

   Destiné au SOC, au threat hunting et à la réponse à incident. Description des modes opératoires : comment l’attaquant entre, persiste, se déplace. C’est le niveau où MITRE ATT&CK devient l’outil central.

4. Niveau technique

   Destiné aux outils autant qu’aux analystes. Indicateurs de compromission, signatures, infrastructures adverses, règles de détection. Très périssable, mais immédiatement actionnable.

Une erreur classique des débutants consiste à produire uniquement du technique. C’est le niveau le plus facile à générer, et le moins durable : un attaquant change d’adresse IP en quelques minutes.

Le vocabulaire indispensable

1. IOC — indicateur de compromission

   Élément technique observable trahissant une attaque : adresse IP, nom de domaine, empreinte de fichier, clé de registre, certificat. Facile à diffuser, mais très périssable.

2. TTP — tactiques, techniques et procédures

   La manière de faire de l’attaquant. Beaucoup plus stable que les indicateurs : changer de méthode coûte cher à un attaquant, changer d’infrastructure ne coûte presque rien.

3. APT — menace persistante avancée

   Acteur disposant de moyens importants, souvent structuré et parfois étatique, menant des opérations longues et ciblées. Terme largement galvaudé en communication commerciale : à manier avec prudence.

4. Campagne

   Ensemble d’activités malveillantes liées entre elles, partageant des objectifs, des cibles ou des modes opératoires communs sur une période donnée.

5. Infrastructure adverse

   Les moyens techniques utilisés par l’attaquant : serveurs de commande et de contrôle, domaines, certificats, hébergements. Sa cartographie permet parfois d’anticiper la suite.

6. Threat actor

   L’acteur de la menace, décrit par ses capacités, ses intentions, ses cibles habituelles et ses modes opératoires. L’attribution formelle, en revanche, est un exercice délicat qui dépasse souvent le cadre d’une entreprise.

MITRE ATT&CK, langage commun du domaine

MITRE ATT&CK est une base de connaissances des tactiques et techniques adverses observées dans des attaques réelles. En CTI, elle sert de langage partagé : plutôt que de décrire une attaque en prose, on la caractérise par les techniques employées, ce qui permet de la comparer à d’autres, d’identifier les lacunes de détection et de transmettre une analyse sans ambiguïté au SOC.

Un cas concret : un groupe d’attaquants cible votre secteur

Une organisation reçoit une information indiquant qu’un groupe d’attaquants vise actuellement son secteur d’activité. Voici le travail réel de l’analyste CTI.

1. Il évalue la source

   D’où vient l’information ? Quelle est la fiabilité de l’émetteur, et quel est son intérêt à publier ? Un rapport d’éditeur n’a pas le même statut qu’un bulletin d’agence nationale ou qu’un message sur un forum.

2. Il identifie les techniques employées

   Comment ce groupe obtient-il un accès initial ? Comment persiste-t-il ? Comment se déplace-t-il ? Chaque élément est rattaché à une technique ATT&CK identifiée.

3. Il recherche les vulnérabilités exploitées

   Quelles failles ce groupe utilise-t-il, et l’organisation y est-elle exposée ? C’est ici que la CTI rejoint très concrètement la gestion des vulnérabilités.

4. Il collecte les éléments techniques

   Domaines, adresses, empreintes de fichiers, certificats, familles de codes malveillants employées. Chaque élément est qualifié plutôt que diffusé brut.

5. Il évalue la pertinence pour son organisation

   Les entreprises ciblées ressemblent-elles à la sienne ? Taille, secteur, zone géographique, technologies employées. Une campagne réelle mais sans rapport avec le contexte de l’organisation ne mérite pas de mobiliser les équipes.

6. Il confronte aux capacités de détection

   Parmi les techniques identifiées, lesquelles le SOC détecterait-il aujourd’hui ? Lesquelles passeraient inaperçues ? Cette confrontation est le livrable le plus utile de tout l’exercice.

7. Il formule des recommandations

   Règles de détection à créer, correctifs à prioriser, durcissements à appliquer, points de vigilance à communiquer aux utilisateurs. Toujours avec un ordre de priorité assumé.

8. Il diffuse au bon format

   Une note stratégique pour la direction, une fiche technique pour le SOC, un point en réunion sécurité. Le même travail d’analyse, trois livrables distincts.

La question qui clôt toute analyse CTI utile : « et donc, qu’est-ce qu’on fait ? ». Si la note ne permet pas d’y répondre, elle n’est pas terminée.

Outils et ressources

Deux outils méritent une mention particulière. MISP et OpenCTI sont des plateformes ouvertes largement utilisées en France pour structurer, enrichir et partager le renseignement : elles permettent de relier entre eux acteurs, campagnes, techniques et indicateurs plutôt que d’accumuler des listes isolées.

Le CERT-FR, rattaché à l’ANSSI, constitue de son côté une source de référence pour le contexte français : alertes, avis, rapports de menaces et indicateurs de compromission y sont publiés régulièrement.

CTI, threat hunting, SOC, analyse de malware : qui fait quoi ?

1. Analyste CTI

   Regarde vers l’extérieur. Produit du renseignement sur les attaquants, leurs campagnes et leurs méthodes. Logique d’anticipation.

2. Threat Hunter

   Regarde vers l’intérieur, de façon proactive. Part d’une hypothèse — souvent issue de la CTI — et cherche des traces dans les données de l’entreprise.

3. Analyste SOC

   Regarde vers l’intérieur, en réaction. Traite les alertes générées par les outils de détection, en temps réel et en volume.

4. Analyste de codes malveillants

   Décortique les échantillons pour comprendre leur fonctionnement, extraire des indicateurs et alimenter la détection. Spécialité technique très pointue.

Ces quatre rôles forment une chaîne : la CTI décrit ce que fait l’attaquant, le threat hunting va le chercher, le SOC le détecte au quotidien, l’analyse de malware apporte la compréhension fine des outils employés. Dans une équipe réduite, une même personne porte souvent deux ou trois de ces casquettes.

Les qualités attendues

La CTI attire souvent des profils curieux et méthodiques, à l’aise avec l’écrit. C’est un métier où l’on passe beaucoup de temps à lire, à douter et à écrire.

• Curiosité : vouloir comprendre pourquoi un attaquant agit d’une certaine façon, pas seulement comment
• Capacité de recherche : savoir où chercher, et reconnaître quand on ne trouvera rien de plus
• Esprit critique : évaluer une source, repérer une information recyclée ou commercialement orientée
• Rigueur méthodologique : distinguer le fait établi, l’hypothèse et la spéculation
• Anglais : lire couramment, et rédiger dès que le contexte est international
• Synthèse : ramener trente pages à une note d’une page qui garde l’essentiel
• Capacité rédactionnelle : écrire clairement pour des publics très différents
• Prudence : en CTI, l’excès de confiance produit des erreurs coûteuses

Un point mérite d’être souligné : la CTI est l’un des rares métiers cyber où l’on exprime systématiquement un niveau de confiance. Écrire « il est probable que » plutôt que « il est certain que » n’est pas une faiblesse, c’est une exigence professionnelle.

Comment accéder au métier

La CTI est un métier de seconde étape, mais il est accessible depuis deux mondes très différents — ce qui en fait l’une des portes d’entrée les plus intéressantes pour des profils non techniques.

Depuis la technique

Ces profils disposent déjà de la culture système et réseau. Ce qu’ils doivent construire, c’est la méthode d’analyse, l’évaluation des sources et la qualité rédactionnelle.

Depuis l’analyse et la recherche

• Analystes en renseignement ou en géopolitique
• Professionnels de la veille et de la documentation
• Praticiens de l’OSINT
• Journalistes d’investigation et profils de recherche
• Analystes en intelligence économique

Ces profils maîtrisent déjà l’évaluation des sources, le recoupement et la rédaction analytique. Ce qu’ils doivent construire, c’est une culture technique suffisante : comprendre ce qu’est un annuaire, un service exposé, une élévation de privilèges, une persistance. Sans cela, les notes produites restent trop générales pour être actionnables.

Les meilleurs analystes CTI sont rarement les plus techniques ni les meilleurs rédacteurs : ce sont ceux qui savent faire les deux à un niveau suffisant.

Avantages et contraintes du métier

• Métier intellectuellement stimulant, en apprentissage permanent
• Vision large de l’écosystème des menaces, bien au-delà de sa propre entreprise
• Peu d’astreintes comparé au SOC et à la réponse à incident
• Accessible à des profils non informatiques disposant de solides compétences d’analyse
• Forte dimension de partage et communauté professionnelle active
• Passerelles vers le threat hunting, la réponse à incident et les CERT

• Volume d’information considérable à traiter chaque jour
• Anglais indispensable, à un bon niveau de lecture
• Difficulté à démontrer sa valeur : une attaque évitée ne se voit pas
• Risque de produire du renseignement que personne n’exploite
• Postes purement CTI concentrés dans les grandes organisations
• Exposition régulière à des contenus liés à la criminalité informatique