Une adresse IP seule, c’est un numéro de plaque sans voiture ni conducteur. C’est précisément le pari de l’intégration entre Criminal IP et OpenCTI, la plateforme open source de threat intelligence signée Filigran. L’éditeur promet d’enrichir automatiquement les IP, domaines et URL ingérés avec des données de réputation, d’infrastructure, de vulnérabilités, de comportement et d’analyse de phishing.
Le raisonnement se tient : un indicateur isolé ne raconte rien, mais ses liens avec d’autres actifs et signaux de risque le replacent dans un contexte d’attaque. Dans l’intégration décrite par Criminal IP, le connecteur alimente le graphe de connaissances d’OpenCTI avec des entités et des relations structurées, pour aider les analystes à corréler plus vite et à prioriser les indicateurs les plus dangereux.
Points clés
- Criminal IP enrichit automatiquement IP, domaines et URL dans OpenCTI avec réputation, infrastructure, vulnérabilités et analyse de phishing
- Les IP reçoivent un score de risque à double perspective, inbound et outbound, converti en objets STIX 2.1
- L’intégration s’ajoute à un marché de connecteurs OpenCTI déjà occupé par Shodan, Censys ou Flashpoint
OpenCTI, moteur de contexte pour les indicateurs
OpenCTI organise la CTI (cyber threat intelligence, ou renseignement sur les menaces) sous forme de graphe. Ses connecteurs importent ou enrichissent des données externes, puis les convertissent en objets et relations au format STIX 2.1. Dans ce modèle, une IP, un domaine ou une URL ne restent pas des artefacts plats : ils deviennent des objets reliés à une infrastructure, une campagne, une vulnérabilité ou une technique.
Criminal IP enrichit ces indicateurs avec plusieurs couches d’informations :
- un score de réputation ;
- des données d’infrastructure ;
- des informations de vulnérabilité ;
- des signaux comportementaux ;
- une analyse de phishing.
Ces données ressortent ensuite sous forme d’entités et de relations dans OpenCTI, exploitables pour la recherche, la corrélation et l’analyse d’infrastructure. Objectif affiché : aider les équipes à identifier les surfaces d’attaque possibles et à classer les indicateurs à plus haut risque.
Deux axes de score pour les IP, un examen complet pour les domaines
Le point le plus concret concerne les IP. L’outil fournit un score de risque à double perspective, inbound et outbound. Traduction : il prend en compte à la fois la manière dont une adresse est ciblée et sa façon de se comporter vers l’extérieur. Une approche plus nuancée qu’un modèle de réputation unique, censée mieux trier les infrastructures sensibles.
« Criminal IP fournit un score de risque à double perspective (inbound et outbound), reflétant à la fois la manière dont une IP est ciblée et son comportement externe. »
BleepingComputer
Pour les domaines et les URL, l’analyse vise le phishing et ses variantes : pages d’hameçonnage, collecte d’identifiants, fichiers suspects et techniques d’usurpation. Le score de confiance est directement lié à la probabilité de phishing, ce qui donne aux analystes un chiffre pour hiérarchiser les cas.
Criminal IP se présente comme un service de threat intelligence fondé sur l’IA et l’OSINT, capable d’analyser IP, domaines et URL sur tout l’internet public et de détecter en temps réel du phishing, des services exposés et des technologies d’anonymisation comme les VPN et les proxys. Dans l’écosystème OpenCTI, ce contexte répond à la logique de la plateforme : transformer un flux d’indicateurs en base de connaissance exploitable.
Un marché des connecteurs de plus en plus centré sur l’enrichissement
L’annonce s’inscrit dans une tendance nette autour d’OpenCTI : les éditeurs de renseignement multiplient les connecteurs pour injecter du contexte au plus près des analystes. La documentation de Filigran détaille plusieurs types de connecteurs, dont l’enrichissement interne à partir de sources comme Shodan ou DomainTools. Censys, Flashpoint et d’autres proposent aussi leurs intégrations pour verser des données de visibilité internet ou de renseignement dans le même environnement.
Dans le cas de Criminal IP, l’argument tient moins à la présence d’un connecteur qu’à la nature des données ajoutées : score de risque, relations d’infrastructure et analyse phishing. De quoi passer d’un indicateur brut à une lecture élargie de l’actif observé, sans jamais quitter le graphe d’OpenCTI.
