← Retour aux projets

Étude de cas / Entreprise confidentielle / CTI & automatisation

Assistant de veille CTI.

Préparer les alertes à vérifier selon les systèmes de l’entreprise.

La CTI, ou renseignement sur les cybermenaces, aide à comprendre les risques pour une organisation. Cet assistant rapproche les bulletins publics de l’environnement interne ; l’analyste vérifie ses propositions.

01 / Le besoin

Quelles alertes concernent
l’environnement interne ?

J’ai construit cet assistant dans une entreprise de cybersécurité offensive, pour soutenir sa démarche ISO 27001 et la gestion de ses risques internes.

Il fallait rapprocher les publications des systèmes utilisés, vérifier si les vulnérabilités s’appliquaient et conserver les décisions.

Ma contribution

Préparer le tri
et la revue des alertes.

J’ai conçu les workflows de collecte, de tri et de restitution. Ils retirent les répétitions et préparent les informations à examiner selon le contexte de l’entreprise.

L’IA propose un rapprochement et l’explique. L’analyste vérifie la source, confirme si le risque s’applique et précise la suite à donner.

  • Périmètre décrit
  • Vérification humaine
  • Décisions conservées

02 / Les vérifications

Pourquoi le bulletin Kerberos
est retenu dans l’exemple.

  1. AD DS figure dans le contexte de démonstration

    L’IA rapproche le bulletin Microsoft sur Kerberos de l’annuaire AD DS décrit dans cet environnement fictif. Elle conserve la source et explique ce rapprochement.

  2. Les versions et les correctifs restent à vérifier

    Le mail préparé demande aux administrateurs de confirmer les versions et les mises à jour installées. Aucun inventaire de builds n’est joint à cet exemple pour établir si les systèmes sont affectés.

  3. L’analyste peut corriger le rapprochement

    Le bouton « Faux positif » change la décision affichée et signale que l’alerte est écartée de la synthèse technique. La scène montre aussi l’ajout de cette correction au contexte de tri.

03 / La démonstration

Examiner la proposition
et son effet sur la synthèse.

Les bulletins sont réels. L’environnement AD DS, Salesforce et Microsoft 365 est fictif, et les messages sont reconstitués. À l’étape « Vérifier », confirmez ou écartez la proposition, puis consultez la synthèse technique.

Exemple de traitement d’un bulletin

Suivre une alerte.

Entreprise de démonstration. Alertes publiques réelles et datées ; environnement et messages reconstitués. Les éléments animés ne représentent pas les volumes mesurés.

Des informations à trier

Microsoft MSRCVulnérabilités et correctifs
Salesforce AdminsAccès et administration
CERT-FRBulletins et recommandations
Recherche publiqueTechniques et validation

Collecte chaque matin.
Sources originales conservées.

Le premier tri

Retirer les répétitions

Une information déjà reçue

Répétitions retirées

Informations regroupées

Le contexte interne

Environnement de démonstrationAD DS · Salesforce · Microsoft 365Annuaire, CRM et identité cloud
Tri assisté par IA

Analyse avec le contexte

AD DS à qualifierKerberos · serveurs Windows
Justification

Le bulletin concerne Kerberos, utilisé par AD DS. L’analyste doit vérifier les versions, les correctifs et les prérequis d’accès.

Pertinent pour cet environnement

Hors contexte → écartée

Un mot-clé commun ne suffit pas.

Un signal à qualifier

Alerte retenue / exemple

Kerberos : exécution de code à distance CVE-2026-69676 · source Microsoft ↗

Gravité élevée (8,8/10). Accès préalable requis ; versions et couverture des correctifs à vérifier sur le périmètre Windows.

Voir le mail détaillé ↓ À vérifier
Informations retenuesSuivi partagé · répétitions vérifiées
Email préparéQualification humaine avant diffusion

Vérification humaine

Une personne vérifie.

L’analyste vérifie les systèmes concernés
et décide si l’alerte doit être retenue.

Retour humain → analyse

Conserver les corrections de l’analyste.

L’explication de l’analyste complète le contexte et les consignes du prochain tri.

Exemple de mail préparé

Un mail pour vérifier les correctifs installés.

Ce bulletin de gravité élevée mérite une vérification. Pour fixer la priorité interne, il faut connaître les versions installées et l’exposition des systèmes, en plus du score CVSS.

À / Administration systèmes et identité
[À qualifier] CVE-2026-69676 : vérifier les correctifs Windows/Kerberos

Exemple rédigé le 9 octobre 2026 · entreprise de démonstration

Dans cet exemple, le bulletin est retenu parce que l’entreprise utilise AD DS. Les administrateurs doivent encore vérifier les versions et les correctifs installés.

Bulletin
CVE-2026-69676 · 8 septembre 2026
Gravité éditeur
Élevée · CVSS 3.1 : 8,8 / 10
Prérequis
Accès réseau et faibles privilèges préalables
Actifs à rapprocher
Windows / Kerberos, dont les hôtes AD DS
Qualification
Risque potentiel · versions à confirmer
Victimes
Aucune victime nommée confirmée par les sources consultées
Le signal reçu

Vérifions les correctifs installés sur nos systèmes Windows utilisant Kerberos.

Microsoft a publié le 8 septembre la CVE-2026-69676, cotée 8,8/10 : un défaut de capture/rejeu d'authentification peut permettre une exécution de code à distance.

L'attaquant doit déjà disposer de faibles privilèges ; la fiche ne décrit pas une attaque anonyme.

Fiche Microsoft

Versions à vérifier dans cet exemple

La fiche Microsoft couvre notamment Server 2019 avant 17763.9245, Server 2022 avant 20348.5622 et Server 2025 avant 26100.33438. D’autres versions Windows figurent dans la matrice complète.

Ces seuils servent à qualifier la couverture. Pour le déploiement, choisir le cumulatif applicable le plus récent après validation en recette.

Enregistrement officiel fourni par Microsoft

Pourquoi nous la retenons

AD DS figure dans le périmètre de démonstration.

Les contrôleurs de domaine et les autres hôtes Windows concernés sont donc à rapprocher de la matrice éditeur.

Leur exposition reste à confirmer : aucun inventaire de builds ni contrôle de configuration n'est joint à cette veille.

Actions proposées

L'équipe systèmes confirme les versions, les mises à jour installées et les redémarrages réalisés.

Elle planifie le cumulatif applicable le plus récent, puis vérifie l'authentification des applications dépendantes et la réplication de l'annuaire.

Pour Server 2022, tenir compte des correctifs ultérieurs au 8 septembre : Microsoft signale un incident RDS corrigé à partir du 14 septembre.

Notes de mise à jour

Retour attendu

Sous un jour ouvré : périmètre affecté ou écarté, preuve de version et date de traitement.

En cas d'indice suspect, transmettre au référent sécurité pour investigation.

Les sources consultées ne permettent pas de nommer une victime de cette CVE ; ce message signale un risque potentiel, sans conclure à une compromission interne.

Exemple de mail reconstitué. Les actifs, destinataires et délais proposés ne décrivent pas l’entreprise d’origine.

Ce suivi du 9 octobre reprend une CVE publiée le 8 septembre. Les alertes critiques et pertinentes qualifiées rejoignent l’email quotidien ; les urgences peuvent être transmises immédiatement.

Diffusion hebdomadaire

Les synthèses destinées à chaque équipe.

Voici les messages que recevraient les admins, la direction et les pentesters d’une même entreprise de démonstration : une sélection pour la semaine du 5 au 9 octobre 2026, avec actualités et rappels de contexte.

Chaque semaine
À / Admins AD DS, Salesforce et Microsoft 365
Veille du 5 au 9 octobre : accès Salesforce et intégrations Microsoft 365

Semaine du 5 au 9 octobre 2026 · exemple de synthèse

Deux publications de cette semaine méritent une vérification dans nos périmètres respectifs.

Salesforce (5 octobre)

Les nouveautés Winter ’27 présentent un rapport qui attire l'attention sur des champs potentiellement sensibles exposés par des règles de partage invité.

Si nous utilisons Experience Cloud avec accès public, vérifier la disponibilité du rapport et faire examiner les champs signalés par le propriétaire métier.

Ce contrôle aide à décider ; il ne ferme aucun accès automatiquement.

L'avis antérieur de mars reste utile pour vérifier profils invités, partage, champs et accès API.

Nouveauté Salesforce Avis de mars

Microsoft 365 (8 octobre)

Microsoft annonce le retrait des URL tempauth à partir du 1er avril 2027.

Recenser les intégrations Graph qui téléchargent, prévisualisent ou téléversent des fichiers SharePoint/OneDrive, puis identifier celles qui conservent ces URL ou les utilisent sans jeton Entra.

Prévoir un test dans un tenant de recette et un responsable par intégration.

Annonce Microsoft

Suivi AD

Rapprocher ces travaux du contrôle de couverture Kerberos ouvert séparément.

Pour lundi, merci de remonter les composants présents, les cas non applicables et les tests à planifier.

Aucun de ces avis ne démontre à lui seul une exposition de notre environnement.

Exemple de mail reconstitué. Les actifs, destinataires et délais proposés ne décrivent pas l’entreprise d’origine.

À / Direction, responsable sécurité et gouvernance
Veille du 5 au 9 octobre : corrections prioritaires et préparation de la revue SMSI

Semaine du 5 au 9 octobre 2026 · exemple de synthèse

Cette semaine, deux sujets appellent un arbitrage sur les correctifs et les accès. Les décisions peuvent alimenter la revue du système de management de la sécurité de l’information (SMSI).

Décision à préparer

Dans son billet du 6 octobre, Microsoft recommande de revoir la capacité de traitement et les délais de correction des systèmes critiques face à l'augmentation des découvertes.

Pour notre organisation de démonstration, la décision utile consiste à définir qui arbitre une correction urgente, quels tests sont indispensables et qui accepte une exception temporaire.

Le score d'une CVE reste un élément : il faut aussi connaître les actifs concernés, les accès nécessaires et l'impact métier.

Publication Microsoft

Données et fournisseurs

La publication Salesforce du 5 octobre propose une aide à la revue des données visibles par les invités.

Si ce périmètre existe, demander un propriétaire métier pour décider de la visibilité nécessaire et conserver la justification des accès.

Une anomalie signalée doit être qualifiée avant de devenir un incident déclaré.

Publication Salesforce

Pour la prochaine revue SMSI

Je propose trois éléments : état des actifs potentiellement concernés, engagements de traitement avec responsables, et exceptions datées accompagnées de leur risque résiduel.

Ils peuvent alimenter le registre des risques et les preuves de gestion des changements dans une démarche ISO 27001.

Cette veille n'annonce ni nouvelle exigence normative, ni résultat d'audit, ni conformité acquise.

Exemple de mail reconstitué. Les actifs, destinataires et délais proposés ne décrivent pas l’entreprise d’origine.

À / Pentesters et équipe Cyber & tech
Veille du 5 au 9 octobre : tests HTTP et vérification des preuves

Semaine du 5 au 9 octobre 2026 · exemple de synthèse

Cette semaine, une recherche mise à jour propose des tests HTTP à essayer en laboratoire. Un retour d’expérience apporte des critères pour vérifier les preuves.

À étudier : HTTP desync

Le travail de James Kettle chez PortSwigger, publié le 5 août et mis à jour le 6 octobre, détaille des divergences d'interprétation HTTP entre composants et de nouvelles pistes de confusion entre parseurs.

Pour nos missions, cela invite à tester l'ensemble frontal, proxy et serveur : leurs interactions peuvent produire un comportement absent quand on les examine séparément.

Recherche originale

Intégration proposée

Reproduire d'abord le scénario dans un laboratoire représentatif.

Pour les clients dont le mandat couvre ces tests, ajouter une vérification de cohérence du traitement des requêtes entre composants.

Conserver versions, architecture et échanges de test ; rechercher une preuve reproductible sur des sessions dédiées.

Un délai inhabituel ou une réponse isolée demande des vérifications supplémentaires avant de conclure à une faille.

Présenter ensuite le prérequis, l'impact démontré et le résultat du retest au client.

Méthode (7 octobre)

Le retour FORGE de Microsoft insiste sur la validation, la reproduction sur la bonne version et la capacité de remédiation.

Nous pouvons en tirer un critère de revue : chaque nouveau test doit produire une preuve vérifiable et un résultat attendu après correction.

Retour de recherche Microsoft

Suite proposée

À préparer : une fiche de test revue par un pair avant son ajout au référentiel de mission.

Exemple de mail reconstitué. Les actifs, destinataires et délais proposés ne décrivent pas l’entreprise d’origine.

Publications récentes et suivis datés, avec leurs sources originales. Les actions, destinataires et échéances sont des propositions pour cet exemple, pas des faits historiques sur l’entreprise d’origine.

Les informations sont regroupées.

La collecte regroupe les contenus reçus. Il reste à vérifier lesquels concernent l’entreprise.

04 / Les résultats disponibles

Environ 92 % des contenus
écartés avant la revue finale.

Sur 92 jours, 1 572 contenus ont été collectés et 125 retenus. Ces volumes proviennent du suivi du projet ; l’animation est une reconstitution.

≈ 92 % écartés

≈ 8 % retenus

Les proportions sont arrondies. Elles mesurent la réduction du flux à lire, pas la capacité à détecter toutes les menaces. Le temps humain gagné n’a pas été mesuré.

Aucun taux de faux positifs ou d’alertes pertinentes manquées n’est présenté ici. Le retour humain de la simulation illustre une correction ; il ne mesure pas la qualité du tri sur les 1 572 contenus collectés.

Le site fonctionne avec ou sans collecte. Vous pouvez modifier votre choix à tout moment.

Comment les données sont utilisées