Orchestrateur de renseignement sur les menaces CISA KEV

Pipeline sans intervention qui transforme les CVE nouvellement armées du catalogue CISA Known Exploited Vulnerabilities (KEV) en règles de détection Sigma prêtes pour la production, automatiquement, chaque semaine.

Le problème

Transformer manuellement une nouvelle entrée KEV en une détection utilisable est lent : consulter l'avis, rechercher le schéma d'attaque, rédiger une règle Sigma, la tester, informer l'équipe. Cela représente environ 4 à 6 heures par CVE. Dix nouvelles entrées en une semaine représentent une semaine entière de travail, et la plupart des SOC n'ont pas une semaine d'analyste supplémentaire chaque lundi.

Ce que cela fait

Tous les lundis à 8h00, le pipeline :

1. Récupère le catalogue CISA KEV en direct et isole les CVE nouvellement ajoutées et armées depuis la dernière exécution.
2. Génère une règle de détection Sigma par CVE en utilisant Google Gemini, contrainte par un prompt structuré qui force le modèle à :
   • cibler le produit/vendeur exact mentionné dans la CVE (pas une règle générique)
   • utiliser les bons EventIDs Sysmon pour la technique (création de processus, réseau, chargement d'image, LSASS, registre)
   • inclure 3 à 5 filtres de condition pour contrôler les faux positifs
   • mapper sur une technique MITRE ATT&CK pertinente
   • produire uniquement du YAML propre, prêt à être déposé dans Splunk, Elastic ou Wazuh
3. Enregistre chaque CVE traitée dans une Google Sheet – une piste d'audit continue et horodatée de la date de divulgation d'une vulnérabilité par rapport à la date où une règle de détection existait. Conçu en tenant compte des exigences de preuve de gestion proactive des vulnérabilités SOC 2 / ISO 27001, pas seulement comme un journal.