Threat intelligence et CTI, comprendre le renseignement cyber en 2026

Le marché de la threat intelligence pèse environ 10 milliards de dollars en 2026 (Mordor Intelligence). Mastercard a racheté Recorded Future, le leader du secteur, pour 2,65 milliards de dollars (annoncé en septembre 2024, finalisé début 2025). Google avait acquis Mandiant pour 5,4 milliards en 2022. Ces montants disent une chose : le renseignement sur les menaces n’est plus un luxe réservé aux agences de renseignement. C’est devenu un pilier de la cybersécurité des entreprises. Ce guide fait le point sur ce qu’est la threat intelligence, comment elle fonctionne, quels outils existent, et comment elle s’intègre dans les opérations de sécurité.

Le renseignement cyber, bien plus qu’une liste de menaces

La threat intelligence, ou renseignement sur les cybermenaces, désigne le processus continu de collecte, de traitement et d’analyse d’informations sur les menaces auxquelles une organisation est exposée. L’objectif : transformer des données brutes (logs, indicateurs techniques, rapports publics, activité sur le dark web) en renseignement exploitable par les équipes de sécurité.

Le terme a été formalisé par Gartner en 2014, mais la pratique existe depuis bien plus longtemps dans le monde du renseignement militaire. Le principe est le même : connaître son adversaire avant de le combattre. En cybersécurité, cela signifie savoir quels groupes ciblent votre secteur d’activité, quelles techniques ils utilisent, quels sont leurs objectifs, et quelles vulnérabilités ils exploitent.

Ce que la TI n’est pas : une simple liste de menaces. La donnée brute (« cette adresse IP est malveillante ») n’est pas du renseignement. Le renseignement commence quand cette donnée est contextualisée (« cette IP appartient à un serveur de commande utilisé par le groupe APT29, qui cible les ministères européens depuis 2023, avec une technique de spear phishing exploitant des documents Office piégés »). La différence entre une donnée et un renseignement, c’est le contexte qui la rend exploitable.

Pour qu’un renseignement soit utile, il doit être spécifique à l’organisation (adapté à sa surface d’attaque), contextuel (avec des détails sur les techniques et les acteurs), et exploitable (l’équipe de sécurité peut agir sur la base de ce qu’elle apprend).

Les trois niveaux de threat intelligence

Le renseignement cyber ne s’adresse pas qu’aux analystes techniques. Il se décline en trois niveaux, chacun destiné à un public et un usage différent.

En 2025, le renseignement stratégique représentait environ 34 % du marché de la TI (Mordor Intelligence). C’est ce niveau qui guide les investissements de sécurité et les décisions du comité de direction. Le renseignement opérationnel est celui qui alimente les investigations en cours. Le tactique, le plus technique, est souvent automatisé : les IOC sont injectés directement dans les SIEM, les EDR et les pare-feu pour bloquer les menaces connues.

Le cycle de vie du renseignement cyber

La threat intelligence n’est pas un produit qu’on achète une fois. C’est un processus continu, structuré en six étapes qui se répètent. Ce cycle est hérité du renseignement militaire et adapté à la cybersécurité.

1. Planification. Définir les besoins. Quelles menaces sont prioritaires pour l’organisation ? Quels sont les actifs critiques ? Quels groupes d’attaquants ciblent le secteur ? Cette étape implique les parties prenantes : RSSI, direction, équipes SOC, responsables métier.

2. Collecte. Rassembler les données depuis des sources multiples : feeds d’indicateurs (STIX/TAXII), dark web, forums clandestins, OSINT (sources ouvertes), logs internes, rapports de CERT, partage entre pairs (ISAC sectoriels). La diversité des sources est ce qui fait la richesse du renseignement.

3. Traitement. Normaliser, dédupliquer, enrichir. Transformer les données brutes en format exploitable. Un hash de fichier seul ne dit rien. Enrichi avec sa famille de malware, les campagnes associées et les groupes qui l’utilisent, il devient un renseignement.

4. Analyse. C’est l’étape où l’humain fait la différence. L’analyste CTI corrèle les données, identifie des patterns, formule des hypothèses, et produit des rapports exploitables. Un bon analyste ne se contente pas de lire les données : il les interprète et anticipe.

5. Diffusion. Transmettre le renseignement au bon public, au bon format. Un bulletin stratégique pour la direction. Des règles de détection pour le SIEM. Des indicateurs pour l’EDR. Le renseignement qui n’atteint pas son destinataire ne sert à rien.

6. Retour d’expérience. Évaluer ce qui a fonctionné, ce qui a manqué, ce qui doit être ajusté. Le cycle recommence.

Indicateurs de compromission (IOC) et d’attaque (IOA)

Les indicateurs sont la matière première de la threat intelligence tactique. On distingue deux types, qui répondent à des questions différentes.

Les IOC (Indicators of Compromise) signalent qu’une compromission a eu lieu ou est en cours. Ce sont des preuves numériques : un hash de fichier malveillant (MD5, SHA256), une adresse IP de serveur de commande (C2), un nom de domaine utilisé pour le phishing, une URL de téléchargement de payload, un pattern dans les logs. L’IOC est réactif : il permet de détecter une menace connue. Sa limite : les attaquants changent leurs IOC à chaque opération. Un hash de malware n’est valide que jusqu’à ce que l’attaquant recompile son code.

Les IOA (Indicators of Attack) sont plus durables. Ils décrivent des comportements d’attaque plutôt que des artefacts techniques : un processus PowerShell qui tente d’accéder au LSASS pour extraire des identifiants, un mouvement latéral via PsExec, une exfiltration de données vers un service cloud. L’IOA est proactif : il détecte l’intention de l’attaquant, pas juste sa trace. C’est le fondement de l’analyse comportementale des EDR modernes.

Les IOC les plus courants en environnement d’entreprise : anomalies de connexion (horaires inhabituels, accès non autorisé), activité suspecte sur les comptes à privilèges, hausse soudaine de la lecture des bases de données, requêtes répétées sur un même fichier, modifications non planifiées des fichiers système. En l’absence d’IOC détectables, un attaquant peut rester des semaines dans un réseau sans être repéré. C’est ce qu’on appelle le « dwell time », et il atteint encore 10 jours en médiane pour les compromissions détectées en interne (données Mandiant 2025).

MITRE ATT&CK et les frameworks de threat intelligence

La threat intelligence repose sur des cadres communs qui permettent aux défenseurs de parler le même langage. Trois frameworks structurent le domaine.

MITRE ATT&CK est le plus connu. Cette matrice publique, maintenue par l’organisation MITRE avec des contributions du gouvernement américain et de la communauté cyber, recense les tactiques (ce que veut faire l’attaquant : accès initial, persistance, élévation de privilèges, exfiltration…) et les techniques (comment il le fait : phishing, exploitation de faille, mouvement latéral via RDP…) utilisées par les groupes d’attaquants dans le monde réel. En 2026, la matrice Enterprise couvre 14 tactiques et plus de 200 techniques. Les solutions EDR, SIEM et plateformes de TI cartographient leurs détections sur cette matrice, ce qui permet de mesurer la couverture défensive et d’identifier les angles morts.

STIX/TAXII sont les standards d’échange. STIX (Structured Threat Information eXpression) définit le format dans lequel les indicateurs et le renseignement sont structurés. TAXII (Trusted Automated eXchange of Indicator Information) est le protocole de transport. Ce sont des standards OASIS depuis 2021. Concrètement, ils permettent à une plateforme de TI de recevoir automatiquement des feeds d’indicateurs depuis des sources multiples, dans un format normalisé.

Le Diamond Model est un cadre d’analyse des intrusions qui structure chaque événement autour de quatre sommets : l’adversaire, l’infrastructure utilisée, la victime et la capacité technique déployée. Moins connu que MITRE ATT&CK, il est utilisé par les analystes CTI pour relier des incidents entre eux et attribuer des campagnes à des groupes spécifiques.

Les principales plateformes de TI en 2026

Le marché se partage entre des plateformes commerciales à haute valeur ajoutée et des solutions open source qui ont prouvé leur fiabilité. Voici les six plateformes les plus déployées.

Deux faits marquants en 2024-2025 ont redéfini le marché. Le rachat de Recorded Future par Mastercard pour 2,65 milliards de dollars valide l’idée que la threat intelligence a une valeur directe pour le business, pas seulement pour la sécurité. Côté open source, OpenCTI (développé par la société française Filigran) s’est imposé comme une alternative crédible aux plateformes commerciales. La plateforme est utilisée par des CERT nationaux, des entreprises du CAC 40 et des institutions européennes.

La threat intelligence en pratique dans un SOC

La TI ne vit pas dans un silo. Elle prend toute sa valeur quand elle est intégrée dans les opérations quotidiennes du SOC (Security Operations Center).

Enrichissement des alertes. Quand un EDR ou un pare-feu génère une alerte, la première question de l’analyste SOC est : « est-ce que cet indicateur est connu ? ». La plateforme de TI enrichit l’alerte avec du contexte : cette IP appartient à tel groupe, ce hash est associé à telle campagne de ransomware, ce domaine a été enregistré il y a 48 heures (signal de phishing). L’analyste passe de « je vois une anomalie » à « je comprends ce qui se passe ».

Threat hunting proactif. Le threat hunter ne se contente pas d’attendre les alertes. Il utilise le renseignement opérationnel pour formuler des hypothèses et les tester dans les données du SI. Exemple : « Le groupe Qilin cible les VPN Fortinet non patchés. Nos appliances sont-elles à jour ? Y a-t-il des connexions suspectes sur nos concentrateurs VPN depuis les IP référencées ? » Cette approche proactive a permis à des organisations de détecter des compromissions qui seraient restées invisibles pendant des semaines.

Réponse à incident. Quand un incident est confirmé, la TI accélère l’investigation. Les rapports sur le groupe attaquant identifié permettent d’anticiper ses prochaines actions (mouvement latéral, persistance, exfiltration) et de concentrer les efforts de remédiation sur les techniques les plus probables.

Mesure de la couverture. En mappant les techniques MITRE ATT&CK couvertes par les règles de détection du SIEM et de l’EDR, l’équipe peut identifier les lacunes et prioriser les investissements. Une organisation qui couvre 60 % des techniques de la matrice sait exactement où sont ses angles morts.

Questions fréquentes