CSINT
From Wikipedia, the free encyclopedia
Le CSINT (acronyme de l'anglais Closed-Source INTelligence, ou parfois Commercially-Sourced INTelligence) est l'ensemble des données obtenues à partir de sources d'information qui ne sont pas accessibles au public, contrairement au renseignement d'origine sources ouvertes (OSINT)[1],[2].
Discipline émergente, principalement utilisée dans le secteur de la cybersécurité et de l'intelligence économique, le CSINT repose sur l'exploitation de données propriétaires, de flux commerciaux payants, de données issues de la télémétrie technique ou d'informations circulant dans des espaces numériques à accès restreint (un exemple populaire est le dark web)[3],[4].
Le CSINT représente environ 10 à 20 % des données utilisées dans les analyses de threat intelligence modernes[5].
Terminologie et définition
Le terme « CSINT » est un néologisme formé sur le modèle des disciplines traditionnelles du renseignement (les « INT »), telles que définies par les agences de renseignement occidentales (HUMINT, SIGINT, OSINT, etc.)[6]. Bien que le terme ne fasse pas encore partie de la doctrine officielle de l'OTAN au même titre que l'OSINT, il est utilisé par les praticiens de la sécurité informatique pour catégoriser les données nécessitant une autorisation légale spécifique, un paiement ou une capacité technique particulière pour être consultées, contrairement à l'OSINT, qui repose sur des sources gratuites et publiques[7],[8].
Il existe une ambiguïté sur l'acronyme qui peut désigner deux concepts selon le contexte : Closed-Source Intelligence, l'accès à des données privées (logs, bases de données bancaires, dossiers médicaux) et Commercially-Sourced Intelligence, l'exploitation de flux de données payants ou issus de sources commerciales propriétaires (abonnements à des bases de threat intelligence, services de monitoring payants, datasets fermés d'entreprises spécialisées)[9].
Historique
Le concept de CSINT émerge dans les années 2010 avec la monétisation croissante des données et l'essor des services de threat intelligence payants[10]. Des entreprises comme Recorded Future ou Flashpoint ont popularisé l'accès payant à des données du dark web et à des flux télémétriques dès 2015[11]. En 2023, des rapports du département de la Défense des États-Unis ont reconnu l'importance des sources commerciales dans le renseignement cyber[12].
Méthodologie
Le CSINT s'inscrit en complémentarité du renseignement d'origine source ouverte (OSINT). Là où l'OSINT collecte des données disponibles gratuitement et légalement, le CSINT cherche à combler les zones d'ombre par des moyens non publics[13].
Le processus suit généralement le cycle du renseignement[14], qui est le suivant :
- Direction : Définition des besoins (par exemple, identifier l'auteur d'une attaque)[15].
- Collecte : Acquisition de données via des partenariats, des achats ou des déploiements techniques[16].
- Traitement : Structuration de données hétérogènes (logs serveurs, flux financiers)[15].
- Analyse : Corrélation avec les données publiques pour confirmer une hypothèse[17].
- Dissémination : Production de rapports confidentiels[15].
Types de sources
Les sources exploitées dans le cadre du CSINT sont variées et se caractérisent par leur barrière d'accès (financière, technique ou juridique)[18] :
Télémétrie et données techniques
Il s'agit des données générées par les systèmes de sécurité internes (EDR, pare-feux, sondes réseaux) ou par des éditeurs de logiciels antivirus. Ces flux permettent d'analyser les tendances d'attaques mondiales en temps réel[19],[20].
Sources commerciales (Data Brokers)
Le Commercially Sourced Intelligence (CSI) implique l'achat de bases de données auprès de data brokers : données de géolocalisation (ADINT), historiques de navigation (NetFlow) et registres financiers[21],[22].
Dark Web et communautés fermées
L'infiltration ou la surveillance passive de forums cybercriminels nécessitant une invitation ou une cooptation relève du CSINT. Les analystes y surveillent la revente d'identifiants volés ou les discussions sur les vulnérabilités zero-day[23],[24].
Bases gouvernementales classifiées
Le CSINT peut notamment se dérouler grâce à l'accès à des bases restreintes, par exemples, celles de la NSA ou du FBI, ou souvent via des partenariats public-privé[25].
Applications
Cyber Threat Intelligence (CTI)
Le CSINT constitue un pilier de la Cyber Threat Intelligence (CTI), permettant la détection proactive de fuites de données sur des marchés illégaux comme le carding de numéros de cartes bancaires ou la vente d'identifiants volés[2],[26]. Les plateformes CTI comme Recorded Future ou Flashpoint intègrent des flux CSINT du dark web pour fournir des indicateurs de compromission (IOC) en temps réel aux entreprises[27].
Réponse à incidents (Incident Response)
En réponse à incident, les équipes forensiques croisent données OSINT publiques avec traces CSINT internes (logs EDR, flux réseau propriétaires) pour reconstruire la chronologie d'attaques et identifier les APT responsables[28],[29]. Par exemple, l'analyse de télémétrie antivirus propriétaire permet de corréler des malwares avec des campagnes spécifiques[30].
Investigations judiciaires et forces de l'ordre
Les agences comme le FBI ou Interpol utilisent le CSINT via warrants pour accéder à des communications privées, des bases de données financières ou des enregistrements téléphoniques dans les enquêtes sur le cybercrime organisé, le terrorisme ou le trafic d'êtres humains[31],[32].
Intelligence économique et concurrence
Les entreprises déploient le CSINT pour surveiller leurs concurrents via l'achat de données de data brokers (scores de crédit, dépôts de brevets internes, fuites RH), détecter l'espionnage industriel ou les contrefaçons sur le dark web[33],[34].
Conformité et gestion des risques
Le CSINT vérifie l'exposition de données personnelles (RGPD, CCPA) en scannant des bases de data brokers et des forums de leaks, aidant les entreprises à évaluer risques de violations et litiges[35].
Sécurité nationale et défense
Les gouvernements intègrent le CSINT commercial (ex. : Palantir, Recorded Future) dans leurs analyses via des partenariats public-privé, notamment pour anticiper les cybermenaces étatiques ou terroristes[36],[37].
Secteur financier (FinTech et Anti-Fraude)
Banques et assureurs achètent des flux CSINT pour détecter le blanchiment, les fraudes à l'assurance ou les risques de solvabilité via des analyses de transactions dark pool et des bases de sanctions propriétaires[38].
Controverses et limites
Aux États-Unis, les agences comme la NSA achètent des données de localisation sans mandat, créant une « zone grise »[39]. La fiabilité est moindre sans vérification par les pairs, risquant des biais[40]. Des fuites de CSINT payants ont exposé des vulnérabilités critiques en 2024[41].
