Cyber Threat Intelligence (CTI) – Niveau Intermédiaire : Analyse tactique et anticipation des menaces

À l’issue de la formation, les participants seront capables de :

• Identifier, enrichir et corréler des IOC et TTP issus de sources diverses
• Cartographier une menace selon MITRE ATT&CK et Diamond Model
• Structurer un rapport CTI tactique (pour SOC ou RSSI)
• Intégrer les données CTI dans des outils de détection ou de corrélation (SIEM, MISP, etc.)
• Anticiper l’évolution d’une menace en observant les campagnes ou groupes d’attaquants

Rappel et structuration du cycle CTI

• Intelligence vs information : cycle de renseignement, niveau tactique vs stratégique
• Taxonomies et vocabulaire : threat actor, campaign, intrusion set
• Modèles d’analyse : Diamond Model, Cyber Kill Chain, ATT&CK Navigator
• Corrélation entre IOC, TTP et objectifs adverses

Enrichissement et corrélation avancée d’IOC

• Extraction d’IOC depuis différents formats (PDF, JSON, logs, rapports)
• Corrélation IOC ↔ campagnes ↔ TTP (utilisation de VirusTotal, PassiveDNS, Greynoise, ThreatFox…)
• Scripts d’automatisation pour l’enrichissement (via APIs publiques)
• Introduction à Sigma, YARA pour détection associée

Analyse MITRE ATT&CK et TTP adverses

• Structure du framework ATT&CK (tactics, techniques, sub-techniques)
• Analyse d’un adversaire ou d’un rapport Mandiant / CERT-FR avec MITRE
• Utilisation de ATT&CK Navigator et ThreatMap
• Cartographie d’une attaque à partir de logs ou IOC

Plateformes CTI et gestion collaborative

• Utilisation de MISP : création d’événements, ajout d’attributs, taxonomies
• Intégration avec TheHive ou un SIEM (vue d’ensemble)
• Création de feeds internes / publics, gestion de la fiabilité, partage et TLP
• Comparatif avec d'autres solutions CTI : OpenCTI, ThreatConnect (vue d'ensemble)

Rapport de CTI tactique & restitution

• Structuration d’un rapport CTI tactique (formel mais exploitable)
• Intégration dans une veille opérationnelle ou une alerte SOC
• Recommandations de détection / mitigation associées aux TTP détectés
• Communication vers les équipes techniques et non techniques

Atelier complet : Analyse d'une campagne réelle

• Cas pratique : analyse complète d’une campagne (APT ou malware)
• Extraction des IOC, identification des patterns, attribution possible
• Construction d’un ATTACK Mapping + rapport de synthèse opérationnel
• Présentation et restitution collective

• En cours de formation, par des études de cas ou des travaux pratiques
• Et, en fin de formation, par un questionnaire d'auto-évaluation