Dernière mise à jour : 27 août 2026

Cyber Threat Intelligence (CTI) et Digital Risk Protection (DRP) : différences et synergie

L'essentiel en bref

• Cyber Threat Intelligence (CTI) concentre les informations sur les menaces dans un contexte qui soutient des décisions concrètes. Cela comprend des informations sur les acteurs, les campagnes, l'infrastructure, les vulnérabilités et les tactiques, techniques et procédures.
• Digital Risk Protection (DRP) surveille les risques numériques externes liés à des objets de protection définis tels que les marques, les domaines, les dirigeants ou les informations d'identification. Les Digital Risk Protection Services, ou DRPS, peuvent également proposer des validations, des alertes et un soutien en matière de réponse.
• CTI est une fonction d'information et d'analyse. DRP est davantage axé sur certains types de risques externes et leur traitement. Les catégories de produits et les limites de performance varient selon le fournisseur.
• Gestion de la surface d'attaque externe (EASM) complète les deux perspectives en se demandant quels systèmes appartenant à l'organisation ou pertinents sur le plan professionnel sont visibles et accessibles sur Internet.
• L'utilité ne résulte pas d'un maximum de flux ou d'alertes. Les exigences d'intelligence claires, les preuves vérifiables, les responsables désignés et les réactions mesurables sont décisives.

Ce qui distingue la Cyber Threat Intelligence des simples données de menace

La Cyber Threat Intelligence est souvent abrégée en Threat Intelligence. Il ne s'agit pas de n'importe quelle liste d'adresses IP suspectes ou de hachages de fichiers. L'Institut national des normes et de la technologie décrit la Threat Intelligence comme des informations sur les menaces qui ont été rassemblées, traitées, analysées, interprétées ou enrichies afin de fournir le contexte nécessaire à la prise de décision. La distinction entre données, informations et intelligence est cruciale en pratique.

Un indicateur technique unique peut indiquer une infrastructure de commandement et de contrôle connue. Sans le moment, la source, le niveau de confiance et le rapport avec l'environnement propre, sa valeur informative reste limitée. CTI relie de tels indicateurs, par exemple, à une campagne, aux cibles observées, aux outils utilisés et aux mesures possibles. Le résultat devrait répondre à une question concrète : Quelles menaces sont pertinentes pour notre secteur, nos technologies ou nos systèmes exposés, et quelle décision défensive en découle ?

Les contenus typiques incluent les Indicators of Compromise, l'infrastructure des attaquants, les familles de logiciels malveillants, les vulnérabilités, les exploits, les campagnes et les Tactics, Techniques and Procedures, abrégées en TTPs. MITRE ATT&CK fournit une base de connaissances et une taxonomie communes pour les comportements des attaquants observés. Cependant, ATT&CK n'est ni un flux en direct ni une priorité pour une entreprise spécifique. Ce n'est qu'en se synchronisant avec son propre environnement que des connaissances générales se transforment en un contexte d'action.

Le public cible détermine la forme de l'intelligence. L'ENISA fait la distinction dans sa méthodologie entre des destinataires stratégiques, tactiques et opérationnels. Les analyses stratégiques soutiennent les décisions concernant l'évolution des menaces, les investissements et les points de concentration des risques. Les informations tactiques décrivent souvent les TTPs et aident par exemple l'ingénierie de détection, la chasse aux menaces et la réponse à incidents. Les informations opérationnelles se réfèrent davantage aux activités à venir ou en cours. Les indicateurs techniques peuvent soutenir ces niveaux, mais sont souvent plus éphémères que les connaissances sur le comportement des attaquants.

Un processus CTI solide commence donc par des exigences d'intelligence. Un fabricant avec une chaîne d'approvisionnement internationale a besoin d'autres réponses qu'un fournisseur municipal ou un prestataire SaaS. Des questions appropriées comprennent, par exemple : Quels acteurs attaquent actuellement notre secteur en Europe ? Quelles de nos technologies exposées sur Internet sont présentes dans les campagnes actuelles ? Quelles nouvelles infrastructures de phishing imitent notre marque ? Sans de telles exigences, la collecte croît sans qu'elle ait une signification opérationnelle accrue.

Ce que couvre la Digital Risk Protection

La Digital Risk Protection se concentre sur les risques numériques externes, qui se rapportent à une organisation, ses marques, ses employés ou ses clients. Google décrit le DRP comme une combinaison de produits et de services pour protéger des actifs et des données importants contre les menaces externes. Cette description du marché n'est pas normalisée. Par conséquent, l'étendue concrète des services d'une offre doit être examinée individuellement.

Les objets de protection typiques incluent les noms d'entreprise et de produit, les domaines officiels, les termes de marque, les dirigeants, les adresses e-mail et les services numériques particulièrement pertinents. À partir de ces points de départ, un service DRP recherche par exemple des domaines trompeusement similaires, des pages de connexion falsifiées, des abus de marque, des informations d'identification publiées, des profils frauduleux ou des indications de fuites de données. Certaines offres incluent les app stores, les réseaux sociaux, les plateformes ouvertes ainsi que des sources difficilement accessibles. D'autres se limitent à la surveillance des domaines et du web.

Les Digital Risk Protection Services vont souvent au-delà de la simple détection. Ils vérifient les découvertes, documentent les preuves, priorisent les risques et soutiennent, selon le contrat, dans le blocage, la suppression, la notification ou l'escalade. Un domaine semblable est d'abord seulement un candidat. Pour une évaluation solide, des éléments tels que l'enregistrement, la configuration DNS, l'hébergement, le contenu, les certificats et le comportement observé sont pertinents. Des revendeurs légitimes, des agences de campagne ou des chevauchements de nom peuvent également générer des résultats.

Le DRP ne doit pas être simplement assimilé au Dark Web Monitoring. Un fournisseur peut observer des forums souterrains et des plateformes de fuite, un autre non. De même, un constat ne veut pas dire automatiquement qui est derrière ou si une attaque a déjà eu lieu. L'origine, le droit d'accès, l'actualité et la chaîne de preuve des données doivent donc être pris en compte dans l'évaluation des performances. Pour les données personnelles et les identifiants compromis, il faut également prendre en compte la protection des données, la protection d'accès et les délais de suppression définis.

Le terme de Digital Threat Monitoring est parfois utilisé pour désigner un extrait de DRP. La protection de marque se concentre généralement davantage sur l'abus de marque et d'identité. Les services d'External Threat Intelligence peuvent à leur tour regrouper le CTI, le monitoring et les prestations d'analystes. Ces termes ne sont pas des synonymes fiables. Plus significatifs sont les sources réellement observées, les objets à protéger, les prestations d'analyse et les voies de réaction.

CTI et DRP en comparaison directe

CTI et DRP se chevauchent en ce qui concerne les signaux de menace externes. Le point de départ est cependant différent. Le CTI organise des informations sur les menaces et fournit un contexte pour les décisions. Le DRP commence typiquement par les entités à protéger d'une organisation et recherche des risques externes en lien direct avec ces entités.

Un exemple illustre l'interaction. CTI signale une campagne où un groupe utilise de fausses pages de connexion Microsoft 365 contre un certain secteur. DRP trouve un domaine nouvellement enregistré qui imite le nom de sa propre entreprise et fournit une page de connexion correspondante. CTI explique la procédure et le lien éventuel avec la campagne ; DRP fournit le constat spécifique à l'organisation et initie le traitement. Seules d'autres preuves montrent si les deux observations font réellement partie de la même campagne.

Dans un second cas, un fabricant publie une vulnérabilité critique. CTI complète les informations sur l'exploitation active et les procédures des attaquants connus. Ces informations aident à la priorisation, mais ne répondent pas à la question de savoir si un système propre est concerné. Pour cela, des données sur les actifs, les versions et les expositions sont nécessaires. Ici, CTI touche à la gestion des vulnérabilités et à l'analyse externe de la surface d'attaque.

Comment CTI, DRP et EASM interagissent

Les trois perspectives peuvent être séparées par leurs questions directrices. CTI fournit un contexte sur les menaces et le comportement des attaquants. DRP identifie les attaques ou abus potentiels autour d'objets de protection externes définis. EASM examine quels systèmes et services d'une organisation sont accessibles, atteignables et techniquement notables depuis Internet. La contribution Comparaison entre EASM, CAASM et DRPS explique plus en détail les catégories de produits adjacentes.

Un constat EASM peut par exemple montrer un hôte public accessible inconnu. CTI peut fournir un contexte si la technologie observée est actuellement exploitée par certains acteurs. DRP peut également identifier qu'un domaine étranger imite le service ou la marque. Ces constats ne doivent pas être automatiquement liés à un chemin d'attaque commun. Ils nécessitent une attribution traçable, un propriétaire responsable et une validation technique.

LocateRisk se concentre sur les expositions techniques observables publiquement, les évaluations de sécurité et l'évaluation récurrente des organisations ou des fournisseurs. Une Analyse EASM peut capturer des domaines, des hôtes, des services et des caractéristiques techniques du point de vue extérieur. L'attribution peut être étendue en fonction des relations découvertes et ensuite contrôlée par un périmètre confirmé, des listes blanches ou une sélection technique.

Les informations sur les menaces et les vulnérabilités peuvent prioriser ces constats techniques. L'approche utilisée par LocateRisk Intelligence préemptive relie les premiers indices de vulnérabilité à la surface d'attaque observable. Ce n'est pas une fonction CTI complète et pas un service DRP général. LocateRisk ne revendique à cet égard ni un large suivi des forums souterrains ni des prestations de retrait.

Pour les fournisseurs, une autre limite se crée : les données externes fournissent des indices, mais rarement le contexte commercial et de contrôle interne. Un signal DRP ou EASM peut déclencher une demande, un examen priorisé ou une escalade contractuellement régie. Cela ne remplace pas la confirmation par le prestataire. Le CTI peut aider à pondérer davantage les menaces spécifiques à l'industrie ou à la technologie lors de la sélection de fournisseurs critiques.

Un flux de travail du signal à la réaction

La première étape est un nombre limité d'exigences claires. Au lieu de „ surveiller toutes les menaces “, l'équipe doit définir quelles décisions doivent être soutenues. Des exemples incluent la détection rapide de domaines de phishing, la priorisation des vulnérabilités activement exploitées sur des systèmes externes ou un rapport mensuel pour des domaines commerciaux particulièrement exposés.

Ensuite, le champ d'application est défini. Pour le DRP, il englobe les marques, les domaines, les produits, les personnes pertinentes et les variantes autorisées. Pour le CTI, cela inclut l'industrie, les régions, les technologies, les acteurs de la menace et les besoins d'information. L'EASM commence avec des références d'entreprise confirmées et peut élargir le champ d'application en fonction des relations observées. Les candidats trouvés automatiquement nécessitent un statut d'association ; les actifs confirmés peuvent ensuite être intégrés dans une liste blanche ou une vue adaptée au secteur.

À la troisième étape, des sources et des données sont collectées. Cela peut inclure des indications d'autorités, des avis de fabricants, des groupes d'échange d'informations, des fils commerciaux, des incidents propres, des données de domaine et de certificat, ainsi que des sources externes spécifiques au fournisseur. Pour chaque source, la date de mise à jour, la couverture, l'origine, le droit d'utilisation et les limites connues doivent être documentées. Un grand nombre de résultats n'est pas une preuve de qualité.

S'ensuivent la normalisation, la déduplification et l'enrichissement. STIX fournit un modèle standardisé pour l'échange d'objets de renseignement sur les menaces structurés ; TAXII décrit un mécanisme de transport. Tous les processus ne nécessitent pas ces normes. Avec plusieurs sources et outils, elles peuvent cependant faciliter l'intégration technique. Le protocole de feux de circulation de FIRST soutient l'étiquetage, indiquant jusqu'où les informations peuvent être partagées. TLP ne remplace pas un examen contractuel ou légal.

Avant une réaction, la validation est essentielle. Les analystes vérifient la source, la temporalité, les preuves et les éventuelles erreurs d'attribution. Ils indiquent si une relation est confirmée, probable ou ouverte. Ensuite, la priorisation a lieu : la criticité commerciale, l'accessibilité publique, la probabilité d'attaque, les impacts potentiels et les mesures d'atténuation disponibles sont fusionnés. Un rapport CTI sans référence à un actif peut être stratégiquement pertinent, mais ne justifie pas une action technique immédiate.

Chaque cas priorisé nécessite un responsable et une échéance. Les domaines de phishing peuvent aller à la protection de la marque et à la réponse aux incidents, les systèmes exposés au propriétaire d'actifs, les comptes compromis à l'identité et au SOC. Après la mesure, il est vérifié si l'état a été modifié. Ce retour d'information améliore les modèles de recherche, les règles de priorisation et les exigences d'intelligence futures.

Critères de sélection, indicateurs et limites typiques

Avant de sélectionner une offre de CTI ou de DRP, l'entreprise doit identifier le goulet d'étranglement concret. En cas de manque de contexte de menace pour la détection et la priorisation, le CTI doit être priorisé. Si l'abus de marque et d'identité est détecté trop tard, un cas d'utilisation de DRP est approprié. Si la visibilité sur ses propres systèmes accessibles au public fait défaut, l'EASM est plus proche du problème. Un fournisseur peut couvrir plusieurs domaines, mais le nom commun du produit ne prouve pas une profondeur fonctionnelle.

Les questions de vérification importantes concernent la couverture des sources, la portée régionale et linguistique, la fréquence de mise à jour, les données historiques, la logique de recherche, la présentation des preuves et la gestion des fausses alertes. Les possibilités d'exportation, API, intégration SIEM et ticket, modèle de rôle, emplacement des données et périodes de conservation sont également pertinentes. Pour le DRP, des éléments tels que le droit de retrait, la preuve, les plateformes accessibles et les délais de réaction s'ajoutent. Pour le CTI, il devrait être clair comment les analyses sont réalisées et quel niveau de confiance les affirmations possèdent.

Des indicateurs appropriés relient les signaux aux résultats. Pour le DRP, le temps jusqu'à la validation, le pourcentage de résultats confirmés, le temps jusqu'à la mise en quarantaine ou à la suppression, et le taux de répétition sont utiles. Pour le CTI, la part des demandes d'intelligence répondues, son utilisation dans les processus de détection ou de risque, le temps jusqu'à la disponibilité opérationnelle et les décisions documentées sont appropriés. Pour l'EASM, on trouve les nouveaux actifs confirmés, le temps jusqu'à l'attribution au propriétaire et les expositions résolues.

Le nombre d'indicateurs livrés, de sources observées ou d'alertes générées ne devrait pas être considéré comme un succès à lui seul. De tels volumes peuvent augmenter sans améliorer la sécurité. Il est plus significatif de vérifier si des cas pertinents sont détectés plus rapidement, correctement attribués et traités dans les délais définis. Les fausses alertes et les attributions retirées doivent également être prises en compte dans l'évaluation.

Aucune des catégories n'a automatiquement un aperçu de chaque dépendance interne ou mesure de protection. Le CTI peut être faux, obsolète ou trop général. Le DRP peut classer des contenus légitimes comme suspects ou ne pas couvrir des sources fermées. L'EASM ne peut attribuer des relations et des technologies qu'en fonction des preuves observables. Un processus robuste documente cette incertitude, combine les indices externes avec le contexte interne et vérifie l'impact des mesures.

Questions fréquentes

---

Quelle est la principale différence entre le CTI et le DRP?

CTI analyse des informations sur les menaces et crée un contexte pour les décisions. DRP recherche des risques numériques externes liés à des objets de protection définis tels que des marques, des domaines ou des informations d'accès et aide à leur traitement. Les offres peuvent combiner les deux fonctions.

---

La protection contre les risques numériques est-elle la même chose que la surveillance du dark web ?

Non. Les sources du dark web ou souterraines peuvent faire partie d'une offre DRP, mais ne sont pas automatiquement incluses. D'autres domaines importants incluent des domaines similaires, des sites de phishing, l'abus de marque, des informations d'accès divulguées ou des profils frauduleux.

---

Quelle est la différence entre CTI et EASM ?

CTI fournit un contexte sur les menaces, les acteurs, les campagnes et les méthodes. EASM examine la surface d'attaque technique visible publiquement d'une organisation. CTI peut prioriser les résultats d'EASM, mais ne prouve pas automatiquement qu'un système propre est affecté.

---

Chaque entreprise a-t-elle besoin de sa propre plateforme CTI ?

Non. Le besoin dépend des exigences en matière de renseignement, de la taille de l'équipe, du paysage d'outils existant et du profil de risque. De nombreuses entreprises peuvent commencer avec des informations provenant d'autorités et de fabricants soigneusement choisies ainsi que des processus internes clairs. Une plateforme supplémentaire ne vaut la peine d'être mise en place que si elle comble des lacunes d'information ou d'intégration concrètes.

---

Quelles mesures montrent l'utilité de CTI et DRP ?

Parmi les mesures appropriées, on trouve notamment le temps jusqu'à la validation, la part de résultats confirmés, les mesures de détection ou de protection mises en œuvre, le temps jusqu'à la suspension et la part des demandes de renseignement répondues. Le simple nombre de flux, d'indicateurs ou d'alarmes n'est pas une preuve de succès fiable.

Vous souhaitez d'abord comprendre quels risques techniques sont visibles de l'extérieur pour votre organisation ou chez des fournisseurs critiques ? Commencez par une analyse des risques informatiques réalisée par LocateRisk et ensuite, classez les résultats dans vos processus CTI, d'exposition et de risque.