Utiliser Sophos XDR Threat Intelligence Explorer

Le Threat Intelligence Explorer permet de rechercher les renseignements sur les menaces de la Sophos Counter Threat Unit (CTU) dans Sophos Fusion (anciennement Sophos Central). Vous pouvez rechercher des familles de malwares, des analyses et des groupes de menace connus, puis comparer le contexte décrit aux détections de votre environnement. Une entrée dans cette base de connaissances ne constitue ni une détection dans votre tenant ni une compromission confirmée.

En bref : ouvrir Security Operations > Threat Intelligence, effectuer des recherches via Malware, Threat Report ou Threat Group, lire les détails disponibles et distinguer Related Detections de Related Detectors. Seuls les événements de votre environnement permettent de déterminer si le contexte recherché est pertinent pour un dossier précis.

Prérequis et limites

L’Explorer nécessite une licence XDR ou Enterprise. Cette procédure décrit la vue Security Operations. Threat Analysis Center reste disponible comme vue Classic ; les runbooks existants consacrés aux investigations et aux dossiers peuvent donc encore indiquer ce chemin de menu. Les libellés des deux vues ne doivent pas être mélangés.

La CTU actualise ses renseignements à partir d’investigations de réponse aux incidents, de la surveillance mondiale des menaces, d’analyses techniques de malwares et de campagnes, ainsi que de la collaboration avec des partenaires et des autorités. Ces informations décrivent le paysage des menaces ; les détections et événements du tenant décrivent l’activité observée dans votre environnement. Une investigation nécessite ces deux niveaux.

Trois notions sont importantes ici :

Un Indicator of Compromise (IOC) est, par exemple, un indice de compromission possible mentionné dans une analyse. Sa signification est évaluée en tenant compte de sa date, de sa provenance et du comportement observé.
Un Detector est la logique de détection qui génère une détection à partir d’événements inhabituels ou suspects. Un détecteur associé n’équivaut pas à une détection déjà présente.
Les Tactics, Techniques and Procedures (TTPs) décrivent le mode opératoire d’un attaquant. Des TTPs similaires ou l’utilisation du même malware ne prouvent pas qu’un groupe particulier a attaqué votre tenant.

L’Explorer sert ici de point de départ pour la recherche et l’investigation. La consultation ou le filtrage d’une famille de malwares ne constitue pas la configuration d’un flux de menaces pour un pare-feu, d’une règle de blocage ou d’une action de réponse.

Rechercher avant d’affiner les résultats

La barre de recherche en haut à droite effectue des recherches dans les malwares, les rapports de menace et les groupes de menace. Un terme issu d’une détection ou d’un rapport, comme Emotet, constitue un bon point de départ. Cette valeur n’est qu’un exemple de recherche ; utilisez le nom réellement visé par l’investigation.

Dans Security Operations > Threat Intelligence, ouvrir l’une des trois vues et saisir le terme de recherche.
Sélectionner un résultat précis pour consulter ses détails. Pour comparer d’abord la liste des résultats, choisir View in table ou See all. Le tableau correspondant est filtré sur les résultats de la recherche.
Appliquer ensuite seulement des filtres supplémentaires. Cela permet de voir si un filtre restrictif a exclu des résultats utiles.
Pour commencer une nouvelle recherche, cliquer sur le X à droite du champ de recherche. Il efface la recherche et réinitialise également les filtres du tableau. Consigner auparavant les termes de recherche et les filtres importants dans le journal d’investigation.

Plusieurs filtres sont utiles lorsqu’ils répondent à une question précise. La recherche d’un nom de malware connu associé à une CVE diffère de celle de rapports récents sur les ransomwares pour un secteur donné. Trop de critères dès le départ rendent une liste vide difficile à interpréter.

Examiner une famille de malwares

Malware contient des analyses techniques, des IOC et des liens avec des acteurs de la menace. Par défaut, le tableau est trié d’abord selon la Threat Priority définie par la CTU pour les menaces importantes ou actuelles, puis selon la dernière mise à jour. Cet ordre reflète la priorisation du renseignement, et non la Severity d’une détection de votre environnement.

Les filtres documentés remplissent des fonctions différentes :

Malware recherche le nom de la famille, par exemple Emotet ou TrickBot.
Type affine la classification, par exemple Trojan, Ransomware ou Backdoor.
Threat Group recherche les malwares liés à un groupe particulier, par exemple GOLD MYSTIC ou BRONZE BUTLER.
CVE recherche les malwares qui exploitent une vulnérabilité particulière. Par exemple, utiliser CVE-2021-44228 si cette vulnérabilité précise fait l’objet de l’investigation. Le filtre ne remplace pas la vérification visant à déterminer si vos systèmes sont réellement affectés.

Un clic sur le nom de la famille ouvre le volet latéral de détails. Lire d’abord Malware family overview pour la description et la classification, puis Technical details pour le comportement, les capacités et les indicateurs. Solution and mitigation contient les mesures de protection recommandées. Évaluer ces recommandations au regard de votre plateforme et des protections déjà en place ; ne pas les appliquer sur la seule base d’un résultat de recherche.

Les renseignements associés sont présentés, lorsqu’ils sont disponibles, dans des onglets distincts :

Threat Group indique les groupes qui utilisent ce malware.
Threat Report mène aux rapports connexes de la CTU.
Related Detections affiche les données de détection de votre environnement.
Related Detectors affiche les détecteurs Sophos XDR qui détectent ce malware.

L’icône New Tab permet d’ouvrir la vue détaillée dans un nouvel onglet. Vous pouvez alors copier l’URL et l’utiliser comme référence précise dans le journal d’investigation. Cette référence est plus utile que le seul nom de la famille lorsque plusieurs analystes doivent examiner la même entrée.

Choisir un Threat Report adapté à la question précise

Threat Report contient des publications de la CTU, comme des bulletins quotidiens, des analyses approfondies et des avis sur les menaces. Pour une détection précise, commencer par rechercher un malware, un groupe ou une CVE ; pour un état régulier de la situation, le thème et le type de publication sont des critères adaptés.

Les filtres distinguent le contenu et la forme de publication :

Threat Report recherche le nom du rapport, par exemple Daily Threat Brief ou Ransomware Analysis.
Report Type correspond à la catégorie générale de publication, par exemple Advisory, Analysis ou Brief.
Category désigne le type plus précis, par exemple Customer Advisory, Threat Analysis ou CTU TIPS.
Threat Type affine les menaces traitées, par exemple Ransomware, APT ou Cybercrime.
Threat Actor Type distingue les types d’acteurs, comme Nation-state, Cybercriminal ou Hacktivist.
Target Geography recherche la zone géographique principale, par exemple Europe ou Global.
Target Sectors affine les secteurs abordés, par exemple Financial, Healthcare ou Government.
Threat Group, Malware et CVE recherchent respectivement les groupes, familles de malwares et vulnérabilités traités dans le rapport.

Target Geography et Target Sectors facilitent la priorisation, mais ne permettent pas d’exclure un risque pour votre environnement. Les attaques opportunistes peuvent toucher toute région et tout secteur, même sans préférence de cible particulière. Un état de la situation ne doit donc pas se limiter exclusivement à votre secteur.

Cliquer sur le nom du rapport et lire le volet de détails. Selon le rapport, Full report text, Executive summary, Technical details et Indicators of compromise sont disponibles. Toutes les publications ne contiennent pas l’ensemble de ces sections. Indicators of compromise peut contenir des IOC et des signatures associés. La synthèse donne une orientation ; les informations techniques précises et leurs limites sont déterminantes pour l’investigation.

Lorsqu’ils sont disponibles, Related Detections affiche les détections de votre environnement et Related Detectors les détecteurs XDR mentionnés dans le rapport. Là encore, une logique de détection disponible et une détection observée dans le tenant sont deux constats différents. Ouvrir le rapport complet via New Tab et, si nécessaire, copier son URL pour le dossier.

Considérer Threat Group comme une hypothèse de travail

Threat Group décrit les groupes de menace connus et leurs TTPs. Cette vue est utile lorsqu’un rapport mentionne un groupe, lorsqu’il faut identifier le groupe correspondant à un alias connu ou lorsque vous souhaitez évaluer vos défenses face à certains modes opératoires.

Les filtres couvrent l’identité, les intentions et les modes opératoires :

Threat Group recherche la désignation du groupe, par exemple GOLD MYSTIC ou BRONZE ATLAS.
Thematic Area affine le contexte thématique ou régional, par exemple Cybercrime, China ou Russia.
Aliases recherche des noms alternatifs comme APT1, Lazarus Group ou FIN7.
Status distingue le statut d’activité actuel, par exemple Active et Inactive.
Motivation décrit les motivations, comme Financial, Political ou Military.
Objectives décrit les objectifs, comme Financial Gain, Espionage ou Disruption.
Target Geography et Target Sectors recherchent les profils de ciblage géographiques ou sectoriels.
Malware recherche les familles associées ; Tools recherche les outils et techniques utilisés, par exemple PowerShell, Mimikatz ou PsExec.

Même les groupes sans préférence de cible particulière peuvent toucher votre région ou votre secteur. Une liste vide après application d’un filtre sectoriel ne signifie donc pas une absence de menace.

Après un clic sur le nom du groupe, le volet de détails contient Group description, avec le contexte et les capacités estimées, Attribution assessment, avec l’attribution géographique ou organisationnelle, Activity timeline, avec les campagnes et les opérations, ainsi que l’analyse des Tactics, Techniques, and Procedures. New Tab ouvre les détails afin de disposer d’un lien direct pouvant être copié.

L’Attribution assessment reste une évaluation de la CTU. Elle ne prouve ni l’identité de l’auteur d’un incident dans votre environnement ni que toute utilisation du même malware relève de ce groupe. Dans le dossier, consigner donc, par exemple, « Le comportement correspond aux techniques décrites » et documenter séparément les événements de votre environnement qui étayent cette affirmation. Une attribution définitive à un acteur nécessite davantage d’éléments probants qu’une correspondance de nom, d’outil ou de malware.

De l’entrée de renseignement à la détection et au dossier

Threat Intelligence enrichit automatiquement les détections avec un contexte pertinent ; plusieurs détecteurs XDR utilisent ces données pour la détection. Cela ne garantit pas que chaque technique décrite sera détectée dans chaque tenant. L’investigation revient donc du contexte aux événements réels.

Vérifier les détections de votre environnement

Si Related Detections contient des résultats, ouvrir un résultat pertinent et consulter les détails complets de la détection via New Tab. Vous pouvez également effectuer une recherche dans Security Operations > Detections. La période par défaut y est de 72 heures ; pour un incident plus ancien, il faut adapter cette période. Vérifier les filtres et Include Options afin de ne pas exclure involontairement les détections personnalisées ou déjà triées.

Dans la détection, effectuer les vérifications suivantes :

Dans Summary, lire Affected Entities, le Detector déclencheur, les indications temporelles disponibles, ainsi que Severity et Confidence. First and Last Activity décrivent les dates et heures des événements ; Inserted At désigne la date et l’heure de journalisation.
Dans Events, ouvrir les événements à l’origine de la détection. Dans JSON, consulter si nécessaire les données sous-jacentes de la détection. La synthèse ne remplace pas ces éléments probants.
Dans Insights, examiner les détections ouvertes et fermées ainsi que les dossiers connexes. Les dossiers existants peuvent éviter un travail en double ; les dossiers fermés apportent un contexte historique d’investigation.
Pour obtenir davantage de renseignements, cliquer sur l’icône de bouclier dans Affected Entities ou sélectionner dans Entities une entité portant cette icône. Le pivot entre détection et renseignement fonctionne ainsi également dans le sens inverse.

Le runbook sur les détections et les Threat Graphs permet d’approfondir l’investigation des processus et des graphes des endpoints. Il traite également de la vue Classic. L’absence de détections de votre environnement dans une entrée de renseignement ne prouve ni que le tenant est sain ni que la télémétrie est complète. Si des requêtes supplémentaires sont nécessaires, le runbook sur Data Collection et Live Discover explique les données disponibles et la procédure de requête classique.

Transférer les éléments probants pertinents à un dossier

Avant tout ajout, vérifier s’il existe déjà un dossier pour la même investigation et s’il est modifiable. Les dossiers dont le statut est Closed sont en lecture seule, à l’exception de Status et Archive ; les dossiers archivés autorisent uniquement Unarchive. Utiliser d’abord ces dossiers comme contexte historique, sans supposer qu’ils constituent une destination modifiable pour de nouveaux éléments probants, des commentaires ou une réaffectation. Pour les dossiers MDR, les actions disponibles et les options de Assignee dépendent également de la personne ou de l’équipe qui gère le dossier. Avant une modification, vérifier les actions réellement disponibles et clarifier les possibilités manquantes avec le responsable du dossier.

Pour ce transfert, distinguer l’action dans le tableau des détails complets de la détection. Les guides officiels n’utilisent pas systématiquement les mêmes libellés pour la vue détaillée ; aucun chemin de menu universel valable pour toutes les vues n’est donc établi de manière fiable ici :

Lignes sélectionnées dans le tableau Detections : sélectionner les détections souhaitées et ouvrir Actions > Add to Case.
Détails complets de la détection : le guide détaillé indique sous Actions les actions directes Add to Existing Case et Create New Case. Le guide des dossiers décrit en revanche, pour les détections individuelles, Actions > Add to Case, suivi du choix de Existing Case ou New Case. Utiliser l’action réellement affichée pour un dossier existant ou nouveau ; ne pas rechercher un libellé absent de cette vue.

Si la boîte de dialogue Add to Case s’affiche, suivre les étapes suivantes :

Pour un dossier existant, sélectionner Existing Case, rechercher et sélectionner le dossier, puis enregistrer avec Save to Existing Case.
Pour un nouveau dossier, sélectionner New Case, définir Case Type, éventuellement un modèle, le titre, Case Severity et Case Status. Utiliser l’icône de crayon à côté de Key Findings pour ajouter les premières constatations et le contexte, puis choisir Create New Case.

Lors d’une sélection multiple, vérifier si seules les détections sélectionnées ou toutes les détections du tableau sont ajoutées. Ne pas transférer une liste entière de résultats sans vérification. Quelques minutes peuvent s’écouler avant que les éléments probants apparaissent dans le dossier ; ouvrir ensuite le dossier cible et vérifier l’association effective.

Pour les clients MDR, les types de dossier Investigation et Other nécessitent également Managed By. Ce choix détermine qui gère le dossier et ne peut plus être modifié une fois défini. Avant l’enregistrement, vérifier qu’il correspond à la responsabilité prévue. Une modification ultérieure de Assignee ne modifie pas Managed By.

Dans un dossier modifiable, consigner l’URL de renseignement copiée et les affirmations précisément utilisées comme contexte d’investigation, par exemple dans Key Findings ou, si cette possibilité est disponible, sous forme de commentaire sur la page complète de détails du dossier via Comments > Comment > Save. Distinguer explicitement la recherche des éléments probants du tenant : que dit le rapport, que montrent les événements de votre environnement et qu’est-ce qui reste une hypothèse ? L’URL seule ne conserve pas le contenu d’une analyse susceptible d’être actualisée ; l’affirmation pertinente et la date et l’heure doivent donc figurer dans la note.

Le guide existant sur les dossiers et les règles de détection décrit la procédure classique. Pour Security Operations, tenir compte des variantes de libellés expliquées ci-dessus et des actions affichées dans le tenant. L’Explorer ne remplace ni un analyste responsable ni la décision de confinement ou de remédiation.

Exemple : examiner un indice de malware de manière traçable

Supposons qu’une détection de votre environnement mentionne une famille de malwares que vous ne connaissez pas encore suffisamment. L’exemple suivant ne présume pas l’existence d’une détection :

Rechercher le nom réel de la famille ; Emotet n’est qu’une valeur d’exemple. Ne pas sélectionner immédiatement un secteur ou un groupe supplémentaire.
Lire la description, les détails techniques et les recommandations de protection. Dans Threat Report, examiner un rapport disponible sur le comportement observé.
Dans Related Detections, rechercher les détections de votre environnement. Vérifier chaque résultat pertinent au regard de l’appareil ou de l’entité, de la date et de l’heure de l’événement et des événements précis. Dans Related Detectors, déterminer quelle logique de détection est associée au contexte.
Si un groupe est mentionné, comparer ses TTPs et sa chronologie d’activité. Conserver l’attribution comme une évaluation, même si certaines caractéristiques concordent.
Associer les détections pertinentes à un dossier existant ou nouveau. Consigner dans le dossier : l’entrée de renseignement examinée, la date et l’heure de la recherche, les termes de recherche et les filtres, les références aux détections de votre environnement, les similitudes démontrées, les questions ouvertes et le prochain responsable.

Un résultat utile peut aussi être de constater que le rapport ne fournit qu’une similitude générale. Documenter alors cette limite, plutôt que d’en déduire une compromission ou l’intervention d’un attaquant précis.

Vérifier le résultat et résoudre les impasses courantes

La recherche est traçable lorsqu’un autre analyste peut ouvrir la même entrée de renseignement, comprendre les filtres utilisés et relier chaque conclusion aux données de détection et d’événement de votre environnement. Lors du transfert à un dossier, vérifier également que les bonnes détections figurent dans le bon dossier et que la prochaine action est attribuée à un responsable. Si le dossier est modifiable et que l’action est disponible, ce responsable peut être sélectionné dans les détails complets du dossier sous Manage Case > Assignee.

Si les résultats ne correspondent pas aux attentes, les vérifications suivantes peuvent aider :

Aucun résultat de recherche : vérifier l’orthographe et, pour les groupes, les Aliases. Supprimer les filtres supplémentaires ; utiliser le X du champ de recherche pour réinitialiser la recherche et les filtres du tableau, puis recommencer avec des critères plus larges. Une recherche sans résultat ne dit rien, à elle seule, sur le risque de l’environnement.
Trop de résultats : ajouter un critère techniquement pertinent, par exemple Type pour les malwares ou Report Type et Threat Type pour les rapports. Dans Detections, restreindre également la période. Le tableau Detections est limité à 10'000 résultats ; les résultats agrégés des filtres atteignent au maximum 1'000. Une vue large ne constitue donc pas un inventaire complet.
Rapport sans les IOC ou les onglets attendus : les contenus disponibles dépendent du rapport. Lire le texte complet et les renseignements connexes disponibles, sans présumer l’existence de contenus absents ou d’une couverture particulière.
Détecteurs présents, mais aucune détection dans votre environnement : distinguer le contexte du détecteur de la détection observée. Vérifier la période, les filtres et la télémétrie disponible pour l’investigation. Ne pas exécuter de malware ni désactiver la protection à des fins de test.
Explorer indisponible : vérifier d’abord la licence XDR/Enterprise et le tenant utilisé. Si la nouvelle navigation est absente, rechercher dans la console des indications sur la transition ; ne pas déduire un défaut technique du produit de l’absence d’un menu.
Éléments probants du dossier encore invisibles : attendre quelques minutes pour le traitement, puis vérifier à nouveau la sélection et le dossier cible. Ne pas créer immédiatement un second dossier.

La recherche et les filtres servent ici uniquement à la recherche documentaire ; la réinitialisation décrite suffit pour recommencer. En revanche, l’ajout d’éléments probants ou de commentaires, et surtout le choix non modifiable de Managed By, constituent des modifications du dossier. Ce runbook ne prévoit pas d’étape d’annulation universelle pour ces opérations. Les associations incorrectes doivent être clarifiées avec le responsable du dossier et documentées. Ne pas fermer des dossiers dans le seul but de faire du nettoyage : leur clôture modifie également les évaluations des détections associées.

En exploitation courante, examiner régulièrement les nouvelles entrées de malwares, les activités des groupes et les rapports. Les filtres sectoriels peuvent cibler l’état de la situation, mais doivent compléter la vue d’ensemble. Les constatations doivent alimenter le processus de réponse aux incidents ; les TTPs des groupes sont utiles à la modélisation des menaces, et les analyses de malwares à la planification et à la vérification de vos mesures de protection. De nouveaux renseignements justifient une réévaluation, mais ne prouvent pas automatiquement qu’une modification de configuration est nécessaire.