Cyber Threat Intelligence (CTI) – Niveau Débutant : Premiers pas dans l’analyse des menaces

À l’issue de la formation, les participants seront capables de :

• Comprendre les bases du renseignement sur les cybermenaces (CTI)
• Identifier et collecter des indicateurs de compromission (IOC)
• Rechercher des informations sur les attaquants et campagnes (APT, malware)
• Utiliser des sources ouvertes (OSINT) et des outils d’analyse simples
• Contribuer à la détection et anticipation des menaces dans un contexte opérationnel

Introduction au Cyber Threat Intelligence

• Qu’est-ce que le CTI ? Définitions, rôles, typologie (stratégique / opérationnelle / tactique / technique)
• Pourquoi intégrer l’Intelligence dans la cybersécurité ?
• Typologie des menaces : APT, hacktivisme, cybercriminalité, insiders
• Modèles de classification : Diamond Model, Cyber Kill Chain, MITRE ATT&CK

Les indicateurs de compromission (IOC)

• Types d’IOC : adresses IP, noms de domaine, URLs, hashes, email, user-agent
• IOC vs IOA (indicateurs d’attaque)
• Recherches de base sur IOC avec VirusTotal, AbuseIPDB, urlscan.io
• Fiabilité, temporalité et contextualisation des indicateurs

Rechercher l’information (OSINT & sources ouvertes)

• Sources publiques : CERT-FR, CISA, MISP, TheHackerNews, GitHub, forums underground
• Outils d’OSINT : Maltego, Spiderfoot, Google Dorks, Hunter, HaveIBeenPwned
• Exercices guidés : remonter l’origine d’un domaine ou IP suspect
• Limitations, biais et aspects légaux de l’OSINT

Analyse d’acteurs et de campagnes

• Groupes APT connus : nomenclature, techniques, motivations
• MITRE ATT&CK : lecture d’un profil d’acteur (ex : APT29, FIN7…)
• Exemple de campagne analysée (phishing, malware, ransomware)
• Introduction à la notion de TTP (Tactics, Techniques, Procedures)

Structurer et partager l’information

• Formats standards : STIX/TAXII, MISP, JSON
• Introduction à MISP : plateforme de partage communautaire
• Cycle de vie de l’information CTI (recherche, validation, diffusion)
• Introduction à l’analyse de tendances et reporting simplifié

Atelier pratique guidé

• Scénario simple : alerte d’incident → extraction d’IOC → enrichissement avec OSINT
• Lecture d’un rapport CTI réel et extraction des données clés
• Présentation orale : cartographie de l’attaque et mesures de détection proposées

• En cours de formation, par des études de cas ou des travaux pratiques
• Et, en fin de formation, par un questionnaire d'auto-évaluation