Session

01/10/2026 : 16h45 - 17h30 | Auditorium | Guenaelle De Julis

Votre détection, c’est une boîte noire.

Cette frustration revient sans cesse dans l’industrie de la sécurité, que ce soit des équipes SOC face à leurs alertes EDR/XDR ou des responsables devant leur dashboard de protection.

Les outils de détection bloquent les menaces, mais expliquent rarement ce qui est bloqué, à quel point l’adversaire est sophistiqué, ou quel effort est nécessaire pour rester protégé.

MITRE ATT&CK est souvent présenté comme la réponse, le langage universel de la threat intelligence.

En pratique, ses 200+ techniques, 680+ sous-techniques et sa taxonomie à trois niveaux tactique/technique/procédure forment une matrice si dense qu’elle est devenue un framework que les éditeurs de sécurité citent mais que peu de clients utilisent réellement pour prendre leurs décisions.

Mapper une alerte sur une technique MITRE ne dit pas à un responsable fraude s’il doit durcir sa protection, ni à un CISO comment prioriser son budget.

Le framework a été conçu pour des kill chains d’intrusion, par et pour des chercheurs en sécurité, pas pour la fraude en ligne, où les adversaires partagent les mêmes réseaux de proxys, les mêmes kits d’automatisation, et pivotent plus vite que n’importe quel suivi basé sur des IOCs.

Dans ce talk, nous présentons comment nous avons transformé notre moteur de détection boîte noire en source de threat intelligence actionnable, en développant un framework de threat markers, une taxonomie compacte et lisible qui caractérise les adversaires par les techniques qu’ils utilisent plutôt que par les règles individuelles qu’ils déclenchent.

Avec moins de 40 marqueurs couvrant les dimensions réseau, client-side fingerprinting, server-side fingerpritning et comportementale, les threat markers fournissent un langage que les équipes sécurité peuvent réellement utiliser pour prendre des décisions : ai-je affaire à un adversaire sophistiqué ou à un script basique ?

Le même acteur pivote-t-il et revient-il ?

Mes concurrents sont-ils ciblés par les mêmes menaces ?

Avec quelle agressivité dois-je régler ma protection ?

Cette session se concentre sur la couche d’intelligence construite par-dessus le moteur de détection pour expliquer ce qu’elle permet:

• Des règles aux profils : Pourquoi les règles de détection individuelles ne suffisent pas pour comprendre les menaces
• Rendre la sophistication mesurable : Comment les profils de threat markers permettent de scorer les attaques selon des axes concrets: furtivité, distribution, échelle, évasion et adaptabilité, donnant aux clients une base tangible pour calibrer leur posture défensive plutôt que de se fier à leur intuition.
• Le profiling en action : nous prendront le cas d’une attaque DDoS de 2 milliards de requêtes pour illustrer la valeur mesurable du profiling, aussi bien aux profils techniques qu’aux décideurs.
• Cross-clients : Comment la comparaison des profils de threat markers entre clients et industries révèle si une attaque est ciblée ou fait partie d’une campagne plus large, et aide à répondre à l’éternelle question : « Suis-je particulièrement ciblé, ou tout le monde subit la même chose ? »
• Un outil pour être proactif en interne : Les adversaires les plus habiles parviennent parfois à bypasser la protection, ce sont les faux négatifs. Avec plus de 700 signaux disponibles, identifier où concentrer l’effort de détection est un défi en soi. Les threat markers servent de digest pour comprendre quel arsenal est utilisé pour nous contourner, et orienter le travail de l’équipe là où il aura le plus d’impact.
• Scaler sans perdre en lisibilité : Comment le labeling automatisé maintient le framework à jour sur des centaines de milliers de règles de détection, y compris celles générées par des modèles de ML, pour que la couche d’intelligence ne soit jamais en retard sur la couche de détection.
• Ce que les threat markers ne sont pas : Comme tout framework, il y a des limites. Les threat markers caractérisent des techniques observables dans le trafic HTTP et les signaux client-side, ils n’identifient pas un individu, ne remplacent pas une investigation forensique complète. Nous aborderons les angles morts, et les compléments nécessaires pour une vision complète.

L’objectif de ce talk est pratique : les participants verront comment une taxonomie de menaces légère et spécifique à un domaine peut transformer un système de détection d’un verdict binaire en un outil qui raconte une histoire.

Une histoire que les équipes sécurité et les clients peuvent utiliser pour prioriser, communiquer vers le haut, et prendre des décisions éclairées sur la protection dont elles ont besoin.

Conférence
Data & AI