Un flux n'est pas du renseignement. La question est de savoir qui le lit.

Deux abonnements peuvent être vendus sous le nom de renseignement sur les menaces, surveiller les mêmes forums et les mêmes marchés, et produire des constats tout aussi exacts. Ce qui les sépare apparaît après la signature du contrat. Qui ouvre la plateforme, qui détermine si une entrée concerne votre organisation, et qui la transforme en geste qu'une personne exécute. Ce travail est soit déjà fait quand le constat arrive, soit il devient une charge de votre côté de la ligne.

La matière première et la décision sont deux achats différents

Un flux d'indicateurs est une liste de faits sur l'internet. Une adresse qui hébergeait un panneau de commande et de contrôle la semaine dernière, une empreinte de fichier vue dans une campagne, un domaine enregistré il y a une heure selon un schéma de nommage qui correspond à un kit d'hameçonnage. Chacun peut être exact et aucun n'est une décision. La décision consiste à savoir si l'entrée touche votre parc et ce que quelqu'un doit y changer.

Entre le fait et la décision se tient une personne. Le National Cyber Security Centre britannique, dans son guide sur la construction d'un centre des opérations de sécurité, énonce la dépendance sans détour. Si vous écrivez vos propres cas de détection, le renseignement sur les menaces est une part essentielle du travail, et si vous achetez un outil de détection commercial, c'est l'éditeur qui assure cette part. Le même guide demande que les analystes disposent du temps de lire et d'assimiler les rapports de renseignement. Le temps de lecture est une question d'effectifs, et les effectifs ne figurent jamais sur le devis.

Le cadrage est une différence commerciale et non un confort

Cadrer, c'est dire à la plateforme ce que vous êtes avant de lui dire de regarder. Les domaines que vous possédez, les marques sous lesquelles vous vendez, les noms de dirigeants qui se font usurper, les noms de fournisseurs qui figurent sur vos factures. La surveillance s'exécute alors contre cette liste, et un constat arrive rattaché à un actif que vous reconnaissez. Sans cadrage, la même surveillance s'exécute contre l'internet, et rapprocher les résultats de votre parc devient une tâche avec un responsable, un tour de garde et une file d'attente.

La taille de cette tâche est fixée par le marché où se trouve la preuve, pas par votre entreprise. Le rapport ENISA Threat Landscape 2025, qui a analysé 4 875 incidents entre le 1er juillet 2024 et le 30 juin 2025, indique que 68,6 % des intrusions qu'il a recensées ont abouti à des données volées mises en vente sur des forums criminels. Une annonce de forum est écrite par un vendeur qui veut des acheteurs et pas d'enquêteurs, elle peut donc décrire la victime par secteur, taille et pays sans la nommer. Déterminer si une annonce vous concerne est un travail de lecture, le même pour une banque dotée d'une équipe de renseignement que pour un industriel dont le responsable informatique porte aussi la sécurité.

L'objection évidente est que la lecture est devenue bon marché. C'est vrai. Un modèle de langue résume un long rapport, traduit un message de forum, regroupe les annonces quasi identiques et ramène une semaine de flux à une page. Le cadrage, lui, n'est pas devenu bon marché. Savoir qu'un identifiant divulgué appartient à votre directeur financier et non à un homonyme, qu'un domaine sosie vise votre marque et non une société du même nom dans un autre pays, et qu'un message de forum porte sur vos dossiers clients et non sur une entreprise au nom voisin suppose de savoir ce que vous possédez et qui travaille chez vous. Un modèle braqué sur un flux mondial rend un flux mondial plus court, pas le vôtre. Ce que vous donnez à lire au modèle décide donc davantage que le choix du modèle.

Ce qui change lorsque vous avez un analyste

Une équipe qui dispose de son propre analyste rencontre le problème inverse. Les constats sont voulus, mais une interface est le mauvais endroit pour les recevoir, car le lecteur est une chaîne de détection et non une personne qui regarde un tableau de bord. C'est à cela que servent les deux normes publiées par OASIS.

STIX est, selon les termes de la spécification, un langage d'expression des menaces informatiques et des informations observables. Il définit des types d'objets dont l'indicateur, la campagne, l'ensemble d'intrusion, le maliciel et l'acteur de menace, plus des objets de relation qui les relient, de sorte qu'un constat porte la campagne et l'acteur auquel il est attribué au lieu d'arriver comme une adresse nue. TAXII est le protocole qui le transporte. La spécification définit une collection comme un regroupement logique de renseignement échangé entre un client et un serveur selon un mode requête-réponse, avec des filtres portant sur le type d'objet et sur un horodatage après lequel les objets ont été ajoutés, si bien qu'un client interroge la nouveauté plutôt que la collection entière.

Ces deux sigles sur une fiche produit changent ce qui est acheté. Une plateforme qui exporte du CSV et du PDF laisse à l'analyste un fichier à analyser et un analyseur à maintenir. Celle qui publie une collection TAXII laisse à son outillage un point d'accès à interroger selon un calendrier et un format que l'étape d'enrichissement connaît déjà. Recorded Future et Intel 471 livrent tous deux leur renseignement en supposant qu'un analyste le lit et l'oriente, hypothèse juste pour cet acheteur et fausse pour une équipe où personne n'occupe ce poste.

Cinq questions qui séparent les deux pendant une évaluation

Les deux types font bonne impression en démonstration, car c'est l'analyste de l'éditeur qui la conduit. Ces questions la déplacent sur le terrain où vous travaillerez.

• Demandez ce que la plateforme surveillait avant que vous ne lui donniez quoi que ce soit. Si la réponse est l'internet, le cadrage vous a été laissé.
• Demandez ce qu'un constat nomme. Celui qui nomme votre sous-domaine, votre dirigeant ou votre revendeur a été ramené à votre parc. Celui qui nomme une adresse ne l'a pas été.
• Demandez comment la note de gravité est calculée et contre quelle liste. Une note calculée sans votre inventaire d'actifs a été calculée avant que vous ne deveniez client.
• Demandez la sortie machine pendant l'essai. Réclamez une adresse de collection TAXII, une clé d'API et un objet STIX, et regardez si cela arrive.
• Demandez qui reçoit une alerte à deux heures du matin et ce que cette personne fait ensuite. La réponse nomme l'équipe qui doit exister pour que l'abonnement produise quelque chose.

Si ces réponses reviennent sous forme de promesses de capacité plutôt que sous forme d'un constat sur votre propre domaine, on vous montre de la matière première, et l'analyse reste à acheter.

Où cela s'arrête et où commence la gestion de l'exposition

Les deux se recouvrent en surface. Tous deux partent de l'extérieur du périmètre, énumèrent sous-domaines, certificats et ports ouverts, et trouvent des actifs qui ne sont entrés dans l'inventaire de personne. Ce qui les sépare, c'est le sort de la sortie.

La gestion de l'exposition surveille les actifs externes pour vous dire quoi corriger, et chaque constat se termine par un changement que quelqu'un peut faire. Fermer le port, renouveler le certificat, compléter l'enregistrement DMARC, retirer le serveur resté allumé après la fin du projet. Le ticket a un propriétaire dans l'exploitation informatique et se ferme quand une configuration change.

Le renseignement sur les menaces cartographie les actifs externes pour savoir quoi guetter, et ce qu'il trouve repose sur une infrastructure qui ne vous appartient pas. Le domaine sosie est enregistré sur le compte de quelqu'un d'autre. Le jeu d'identifiants est déjà entre d'autres mains. Un dirigeant est usurpé sur une messagerie que vous n'administrez pas. Les actions diffèrent donc par nature, notamment une demande de retrait, une réinitialisation forcée de mot de passe, et un avertissement à la direction financière au sujet d'une facture sur le point d'arriver. Une évaluation qui traite les deux comme un seul produit tient jusqu'au bout, puisque tous deux répondent correctement à la question de ce qui se trouve dehors. L'écart apparaît quand un constat tombe et que personne n'a été désigné pour agir.

Le produit vers lequel cette note renvoie

Dans notre portefeuille, le renseignement sur les menaces, c'est Cyberthint. Les domaines, les marques et les dirigeants sont définis d'abord, puis la surveillance du web de surface, du web profond et du web clandestin s'exécute contre cette liste, de sorte qu'un constat arrive noté par rapport à un actif que vous avez nommé plutôt que comme une entrée dans un flux mondial. Là où un analyste existe, les mêmes constats sortent en STIX et TAXII et par l'API. La page produit et la page du domaine donnent le détail.