Feeds IOC comparés : abuse.ch, OTX, MISP et l'agrégation curée

Les indicateurs de compromission sont le seul domaine du contenu de détection où les sources gratuites ne sont pas qu'un point de départ : elles sont réellement excellentes. abuse.ch, AlienVault OTX et l'écosystème MISP alimentent une large part de la détection mondiale. Cela rend la question de l'achat plus tranchée que pour Sigma ou YARA : si les meilleures données IOC sont gratuites, que paie-t-on exactement ? Voici comment se décompose le paysage.

Le socle OSINT gratuit

• abuse.ch opère plusieurs projets étroits et à haute confiance : URLhaus (URLs malveillantes), MalwareBazaar (échantillons), ThreatFox (IOC) et Feodo Tracker (C2 de botnets). Chacun est focalisé et maintenu par une équipe dédiée, ce qui explique la haute confiance des indicateurs abuse.ch.
• AlienVault OTX est l'une des plus grandes communautés ouvertes d'échange de menaces, générant des millions d'indicateurs par jour depuis une très large base de contributeurs. L'ampleur est sa force ; la contrepartie est que les données communautaires ont une qualité plus variable et un taux de faux positifs plus élevé.
• MISP est la colonne vertébrale open source de la threat intel professionnelle : il ingère, normalise, corrèle et partage les IOC, se connecte à des dizaines de feeds et pousse les indicateurs vers vos pare-feu, votre SIEM et votre EDR via API.
• CISA KEV n'est pas un feed IOC à proprement parler, mais la liste faisant autorité des vulnérabilités activement exploitées, et un signal de priorisation à haute confiance.

Pour l'ampleur et le budget, ce socle est difficile à battre. Ce qu'il vous laisse, c'est le travail d'intégration : tirer de plusieurs sources, normaliser les formats, dédupliquer les indicateurs qui se recoupent, scorer la confiance, et pousser chaque indicateur dans le format qu'attend chaque outil.

Le palier commercial

Les feeds de threat intelligence commerciaux (les grands noms du secteur) ajoutent du contexte de niveau analyste, des mises à jour plus rapides, une couverture sectorielle, des SLA et des taux de faux positifs plus bas. Ils sont tarifés en conséquence, et se justifient pour les équipes avec des analystes CTI dédiés qui ont besoin de profondeur et d'attribution plutôt que de simples blocklists. La plupart des SOC matures mélangent les deux : l'OSINT pour l'ampleur et le budget, le commercial pour la profondeur et le contexte analyste.

La couche d'agrégation (où se place un feed IOC curé)

Entre « câbler soi-même les sources OSINT » et « acheter une plateforme d'analystes » se trouve une troisième option pratique : un feed qui fait l'agrégation et le formatage à votre place. C'est exactement ce qu'est le feed IOC de ThreatClaw :

• Agrégé depuis des sources ouvertes revendables, puis dédupliqué. Au lieu de tirer URLhaus, ThreatFox et d'autres et de réconcilier le recouvrement, vous obtenez un seul jeu.
• Scoré en confiance. Chaque indicateur porte un score basé sur le nombre de sources indépendantes qui le listent, pour filtrer selon votre tolérance aux faux positifs.
• Livré dans le format qu'attend chaque outil. STIX, MISP et blocklists simples, prêts à brancher dans votre SIEM (Sentinel, QRadar), votre TIP (MISP, OpenCTI) ou votre EDR.
• Signé, revendable et maintenu. Signé en Ed25519, licences des sources vérifiées pour la redistribution, et rafraîchi en continu.

Le cadrage honnête compte ici : un feed d'agrégation ne vous vend pas des indicateurs secrets que le monde OSINT n'aurait pas. Il vend l'intégration, la déduplication, le scoring de confiance, la livraison multi-format et la clarté de licence, pour que vous ne dépensiez aucun temps d'ingénierie à transformer une dizaine de feeds publics en un jeu propre et déployable.

Les critères qui comptent vraiment pour les IOC

• Confiance et contrôle des faux positifs. Une blocklist IOC erronée bloque du trafic légitime. Cherchez un scoring de confiance pour régler selon votre tolérance au risque.
• Adéquation de format. STIX, MISP et blocklists natives pour votre pare-feu et votre SIEM. Si vous devez reformater les indicateurs, le feed a laissé du travail sur votre bureau.
• Déduplication entre sources. Les feeds OSINT se recoupent beaucoup. Les fusionner sans déduplication, c'est du bruit et des alertes en double.
• Fraîcheur et expiration. Les IOC vieillissent vite ; une IP malveillante est propre une semaine plus tard. La cadence et l'expiration des indicateurs comptent plus ici que pour tout autre type de feed.
• Licence de redistribution. Comme toujours, si vous poussez des indicateurs chez des clients, vérifiez les licences des sources.

Comment choisir

• Petite équipe, budget serré. Partez d'abuse.ch et de CISA KEV pour une couverture à haute confiance, ajoutez OTX pour l'ampleur, et faites tourner MISP pour normaliser et distribuer.
• Analystes CTI dédiés qui ont besoin de profondeur. Superposez un feed commercial pour le contexte analyste et l'attribution.
• Vous voulez les sources OSINT agrégées, dédupliquées, scorées en confiance et livrées prêtes à brancher. C'est ce que fournit le feed IOC de ThreatClaw, aux côtés des autres feeds de règles de détection.

FAQ

Si abuse.ch et OTX sont gratuits, pourquoi payer un feed IOC ?

Vous ne payez pas pour des indicateurs secrets. Vous payez pour éviter le travail d'intégration : agréger plusieurs sources OSINT, les dédupliquer, scorer la confiance, et livrer chaque indicateur en formats STIX, MISP et blocklist prêts pour vos outils. Pour les équipes sans le temps d'ingénierie pour bâtir et maintenir ce pipeline, l'agrégation est le produit.

Faut-il utiliser MISP ou un feed ?

Ils sont complémentaires. MISP est la plateforme qui ingère, normalise et distribue les indicateurs. Un feed est une source curée que vous branchez dans MISP (ou directement dans votre SIEM). Beaucoup d'équipes font tourner MISP et l'alimentent à la fois en OSINT et via un feed d'agrégation curé.

Comment contrôler les faux positifs sur les IOC ?

Utilisez le scoring de confiance et l'expiration des indicateurs. Filtrez sur les indicateurs corroborés par plusieurs sources indépendantes, et faites expirer les anciens. Un feed qui livre des scores de confiance vous laisse régler ce seuil selon votre tolérance.