« Si une IP apparaît dans un feed, la machine qui l’a contactée est compromise. »
Un indicateur est une donnée de contexte. Sa valeur dépend de la provenance, de la qualité de la source, du contexte local et de la corroboration avec les faits du dossier.
01Observe les indicateurs sans les enrichir
lab=/tmp/soria-ir-lot5-$USER
column -s, -t "$lab/source/intelligence/iocs.csv"
column -s, -t "$lab/source/intelligence/sources.csv"Le lab ne fait aucune requête DNS, WHOIS, réputation ou MISP. Tout est local et synthétique.
02Sépare deux questions
Pour chaque source, le corpus conserve reliability, information_confidence et provenance. Une source fiable peut publier une information incertaine ; ces dimensions ne doivent pas être fusionnées.
03Utilise le contexte sans effacer l’original
column -s, -t "$lab/source/intelligence/warning-context.csv"203.0.113.10 est conservée dans les IOC mais reçoit KNOWN_BENIGN_CONTEXT. Le pipeline garde l’indicateur et le dépriorise.
04Compare les quatre décisions
bash module5-coordination-intelligence-learning.sh run "$lab"
column -s, -t "$lab/output/ioc-assessment.csv"Résultats attendus : IOC-001 USEFUL_CONTEXT ; IOC-002 NEEDS_CORROBORATION ; IOC-003 KNOWN_BENIGN_CONTEXT ; IOC-004 INSUFFICIENT_EVIDENCE. Aucun état CONFIRMED_COMPROMISE n’existe.
05Relie l’IOC aux preuves du cas
Un IOC devient utile lorsqu’il peut être relié à un événement source, un actif, une chronologie, une hypothèse et une décision documentée. Le renseignement ne remplace pas l’investigation.
06Valide les refus
grep '^ioc-' "$lab/output/negative-results.csv"
grep '^invalid-confidence' "$lab/output/negative-results.csv"Les cas sans source, sans provenance, avec confiance invalide ou avec conclusion de compromission automatique sont bloqués.
Évalue quatre IOC
Pour chaque indicateur, note provenance, fiabilité de source, confiance dans l’information, contexte local, besoin de corroboration et action proposée. Interdis la conclusion « compromis » sans autre preuve.
✓À retenir
Le renseignement de menace réduit l’incertitude seulement s’il conserve provenance, confiance, contexte et possibilité de contradiction.