La Cyber Threat Intelligence est souvent perçue par les PME et ETI françaises comme une fonction réservée aux grandes organisations dotées d’un SOC mature. Cette perception est inexacte. Bien dimensionnée et bien sectorisée, la CTI est accessible à une ETI à un coût raisonnable et lui apporte une valeur opérationnelle réelle. Le problème n’est pas l’accessibilité de la CTI, c’est la confusion sur ce qu’elle est et sur la manière dont elle se met en œuvre.
Voici comment je structure un dispositif CTI sectoriel pour ce segment d’organisations, à partir des éléments observés sur plusieurs missions et de la doctrine de référence.
Ce que la CTI n’est pas — déconstruction préalable
Trois mythes circulent sur la CTI dans le segment PME/ETI et méritent d’être déconstruits avant d’aller plus loin.
Premier mythe : la CTI est un flux d’IOCs (Indicators of Compromise) bruts. Beaucoup de prestataires vendent des abonnements à des flux IOC en les présentant comme de la CTI. Ce ne sont pas de la CTI. Ce sont des données techniques brutes qui supposent un travail d’analyse et d’intégration ultérieur pour produire du renseignement exploitable. Un flux IOC sans analyse contextuelle n’aide pas un RSSI à prendre une décision.
Deuxième mythe : la CTI est réservée aux SOC matures. La fonction de CTI peut être consommée par des organisations sans SOC interne. Elle s’adresse au RSSI, pas seulement à l’analyste sécurité. Elle se consomme sous forme de rapport mensuel structuré, pas seulement sous forme d’alertes temps réel.
Troisième mythe : la CTI est un livrable annuel comme un rapport d’audit. La menace cyber évolue mensuellement, parfois hebdomadairement. Un rapport annuel est obsolète à la moitié de sa durée de vie. La cadence opérationnelle utile est mensuelle, avec idéalement une couche hebdomadaire d’alertes prioritaires.
Les quatre dimensions utiles d’un dispositif CTI sectoriel
Un dispositif CTI utile pour une PME ou une ETI couvre quatre dimensions, qui ne sont pas équivalentes en valeur ajoutée.
Première dimension : veille sur les acteurs ciblant le secteur. Identification des groupes cybercriminels et étatiques actifs sur le secteur d’activité de l’organisation, suivi de leurs revendications publiques, mapping de leurs TTPs sur la matrice MITRE ATT&CK. Cette dimension est probablement la plus structurante : elle permet d’anticiper la menace pertinente plutôt que de réagir à des incidents publiquement médiatisés.
Deuxième dimension : veille sur les vulnérabilités exploitées. Suivi de la liste KEV (Known Exploited Vulnerabilities) de la CISA, croisement avec les composants présents dans le SI de l’organisation, priorisation par multiplicateurs de risque contextualisés. Cette dimension transforme la gestion des vulnérabilités d’un exercice exhaustif en un exercice priorisé.
Troisième dimension : veille sur les incidents sectoriels. Identification des incidents publiquement connus dans le secteur d’activité de l’organisation, normalisation, détection de clusters d’attaques. Cette dimension permet de détecter qu’un ensemble d’incidents apparemment indépendants relèvent en réalité d’une campagne coordonnée qui peut viser l’organisation.
Quatrième dimension : dark web monitoring. Surveillance des forums et marchés cybercriminels pour identifier les ventes de credentials de l’organisation, les ventes d’accès à son SI, les mentions de son nom dans des discussions de ciblage. Cette dimension est plus technique mais devient accessible avec quelques outils standards.
Le scoring Admiralty — pourquoi il est essentiel
Toute analyse CTI doit qualifier ses sources. Le scoring Admiralty (origine OTAN) est l’outil standard. Il croise deux dimensions : fiabilité de la source (notée de A à F), crédibilité de l’information (notée de 1 à 6).
Une source A est une source dont la fiabilité est démontrée par un historique long et consistant (par exemple, le CERT-FR pour les incidents en France). Une source F est une source dont la fiabilité ne peut pas être évaluée (par exemple, une revendication anonyme sur un forum). Entre les deux, les sources B, C, D, E correspondent à des niveaux de fiabilité décroissants.
Une information notée 1 est une information confirmée par d’autres sources indépendantes. Une information notée 6 est une information vraisemblablement fausse. Les notations 2 à 5 correspondent à des niveaux de probabilité décroissants.
Une information A1 (source fiable, information confirmée) a la valeur probante maximale. Une information F6 (source non évaluable, information douteuse) ne devrait pas alimenter une décision opérationnelle. Cette discipline simple évite la majorité des erreurs d’interprétation classiques en CTI.
Les sources gratuites et payantes utiles à une PME
Le paysage des sources CTI accessibles à une PME est plus riche qu’on ne le pense. Côté gratuit, plusieurs sources de premier ordre.
Ransomware.live agrège les revendications publiques des groupes ransomware avec leurs victimes et leurs revendications. Source précieuse pour la veille sectorielle, accès API gratuit pour les usages raisonnables.
La liste KEV de la CISA répertorie les vulnérabilités activement exploitées dans la nature. Mise à jour quasi-quotidienne, c’est la référence pour la priorisation des correctifs.
La matrice MITRE ATT&CK fournit le vocabulaire commun de description des TTPs et la documentation détaillée par technique. Indispensable pour structurer l’analyse.
HaveIBeenPwned permet de vérifier si des credentials de l’organisation circulent dans des fuites publiques. Plan gratuit limité, plan payant à 3,50 USD/mois pour les usages professionnels.
LeakIX et crt.sh permettent d’inventorier la surface d’attaque externe d’une organisation : ports exposés, certificats TLS associés, sous-domaines.
Côté payant, plusieurs offres pour les organisations qui veulent automatiser et industrialiser : VirusTotal Enterprise pour l’analyse de fichiers et URLs, Recorded Future ou Flashpoint pour les abonnements CTI premium, AbuseIPDB pour le scoring d’IP. Mais pour une PME, le démarrage avec les sources gratuites bien exploitées est largement suffisant.
La détection de clusters — la valeur ajoutée principale
La capacité technique qui distingue une vraie CTI d’une simple veille est la détection de clusters d’attaques. Un cluster est un ensemble d’incidents qui partagent suffisamment de caractéristiques (acteur revendiqué, TTPs utilisées, profil des victimes, géolocalisation des infrastructures) pour être qualifiés comme appartenant à une même campagne.
Cette détection est précieuse parce qu’elle permet de passer d’une logique d’incident à une logique d’anticipation. Si on observe trois incidents en six semaines avec le même cluster TTPs sur le secteur d’activité de l’organisation, on peut raisonnablement anticiper qu’un quatrième incident est probable dans les semaines suivantes, et que cet incident pourrait viser l’organisation.
La détection technique de clusters peut s’automatiser par algorithmes simples : distance entre incidents sur les TTPs MITRE ATT&CK, similitude des infrastructures C2, profil des victimes. Pour une PME, cette détection peut être consommée à travers un rapport mensuel produit par un prestataire CTI, pas développée en interne.
Recommandation opérationnelle pour une PME ou ETI
Pour une PME ou ETI française qui démarre un dispositif CTI en 2026, trois recommandations.
Première recommandation : ne pas viser un SOC interne. Le SOC interne suppose une équipe de trois à cinq personnes minimum, un budget annuel de 300 à 800 k€, et un délai de maturation de 18 à 24 mois. Disproportionné pour la majorité des PME.
Deuxième recommandation : externaliser la CTI sectorielle auprès d’un prestataire qui produit un rapport mensuel structuré. Coût typique : 6 à 15 k€ annuels selon le périmètre. Cette externalisation procure 80% de la valeur d’une fonction CTI interne pour 20% du coût.
Troisième recommandation : choisir un prestataire qui couvre votre secteur d’activité spécifique. Une CTI générique a peu de valeur. Une CTI sectorielle calibrée sur les acteurs réels qui ciblent votre secteur (santé, industrie, services financiers, etc.) apporte une valeur qualitative très supérieure.
En conclusion
La CTI sectorielle n’est pas un luxe réservé aux grandes organisations. C’est une fonction accessible à toute PME ou ETI qui accepte de l’externaliser et de la consommer mensuellement. Bien structurée, elle apporte une valeur opérationnelle qui dépasse largement son coût.
Pour les RSSI qui démarrent leur dispositif CTI, le piège à éviter est de surdimensionner les ambitions techniques (SOC interne, déploiement de plateformes MISP, intégration avec SIEM) au détriment de la consommation effective du renseignement par la direction. La valeur de la CTI ne réside pas dans la sophistication technique, elle réside dans la capacité du renseignement à orienter les décisions opérationnelles et stratégiques.
Découvrez nos formations et services cybersécurité.
Sources : doctrine OTAN AJP-2.0 sur le renseignement ; matrice MITRE ATT&CK ; liste KEV de la CISA ; ressources publiques CERT-FR et ANSSI ; références gratuites Ransomware.live, HaveIBeenPwned, LeakIX, crt.sh.
Commentaires récents