Fuites et vulnérabilités

Le modèle de fiche et le coffre à clés sont dans Sources de données. Les horaires sont dans Planification. Les noms techniques sont dans la correspondance technique en bas de page.

Tableau récapitulatif

Source	Ce qu’on y prend et pourquoi	Quand	Accès et coût	Si la source ou la clé manque
Intelligence X	Fuites de comptes par domaine, export des comptes, annuaire d’adresses	Chaque nuit à 04:00 UTC, via une file d’attente	Clé payante : 900 recherches, 450 annuaires et 900 exports par jour	Aucune recherche ne part, aucune alerte. Quota épuisé : le message est ignoré et journalisé
Hudson Rock	Profil des logiciels voleurs de mots de passe (infostealers) touchant un domaine, exposition d’une adresse	Chaque heure	Sans clé, gratuit : 240 requêtes par jour (plafond interne)	Échec : le profil précédent est conservé
ransomware.live	Groupes de ransomware et victimes récentes	Chaque nuit à 03:00 UTC	Gratuit, ou version PRO avec clé (non publié)	Sans clé : version gratuite
CVE List V5 (GitHub)	Failles graves et produits concernés	Chaque heure à :20	Gratuit ; jeton GitHub optionnel	Sans jeton : quota partagé avec les autres sorties Cloudflare
CISA KEV	Failles activement exploitées	Même passage horaire	Sans clé, gratuit	Échec : le passage de l’heure s’interrompt
NVD	Produits manquants dans les CVE ; historique	Même passage horaire	Clé : 40 requêtes par heure ; sans clé : 5	Mode anonyme
EPSS et nuclei-templates	Probabilité d’exploitation, exploit public connu	Toutes les 6 heures	Sans clé, gratuit	Les anciennes valeurs sont conservées

Fiches

Intelligence X.

Chaque nuit à 04:00 UTC, la répartition lance au plus (quota restant x 0,7) / 4 clients, le premium d’abord, un envoi toutes les 60 s. Les 30 % de réserve servent aux prospects, à l’intégration et aux lancements manuels.
Le crédit est réservé avant l’appel et rendu si l’appel échoue. Une recherche du même domaine de moins de 7 jours sert tous les clients concernés sans crédit, sauf lancement manuel.
Quand ça se passe mal : clé refusée, elle devient invalide ; plus de crédit, pause jusqu’à la réinitialisation (sinon 1 h) ; trop de requêtes, pause de 60 s, 5 essais au plus, puis file des échecs ; terme refusé, nouvel essai à 1, 2 et 4 jours. Supprimer la clé d’une recherche ouverte la perd.
Stockage : adresse en clair pour le client, empreinte (hachage) comme clé de recherche, mots de passe masqués (du type « abc***** », 5 au plus). Les comptes ne sont pas purgés avec le temps : seul un export complet qui ne les liste plus, ou la purge du client, les efface.
Une alerte de fuite de journaux n’est levée que pour un fichier d’identifiants ; pour les textes publics (pastes) et les documents publics, le domaine doit figurer dans l’aperçu.
Risque : données personnelles de salariés, conservées sans durée définie.

Hudson Rock.

Un domaine monitoré par semaine, 10 par heure au plus, 25 adresses par domaine tirées de l’annuaire d’Intelligence X.
Le profil est remplacé à chaque lecture ; un échec garde les données précédentes et repousse la prochaine tentative. C’est un complément à Intelligence X, sans solution de repli.
Risque : les adresses des salariés partent chez un tiers.

ransomware.live.

Victimes gardées 730 jours, instantanés par secteur 365 jours. Alerte critique quand le site d’une victime correspond à un domaine monitoré.
Le site web de la victime n’est fourni qu’en version PRO : en gratuit, la correspondance exige que le titre soit identique au domaine. Une clé PRO refusée devient invalide et la même exécution passe à la version gratuite.

CVE List V5.

Une faille n’est gardée que si elle figure dans la liste CISA des failles exploitées, ou si sa gravité atteint 9 sur 10 (CVSS) avec une exploitation possible à distance.
Le rattrapage couvre environ 40 jours de retard ; au-delà, le flux se bloque jusqu’à un rejeu manuel par l’équipe technique.
Les failles repérées par Shodan et InternetDB sont stockées à part.

CISA KEV. Une liste vide est prise pour une panne. Si la lecture échoue, le passage de l’heure s’arrête avant d’enregistrer quoi que ce soit.

NVD. Complète les failles dont l’éditeur ne nomme aucun produit (nouveau test après 7 jours) et importe l’historique des failles critiques, seulement quand rien n’est à compléter. La clé se gère dans le coffre seulement.

EPSS et nuclei-templates. Une fois par jour après 14:00 UTC (donc au passage de 18:00). Une source en panne garde ses anciennes valeurs ; les deux en panne : nouvel essai au passage suivant. L’exploitabilité va de 1 à 4 (4 pour une faille de la liste CISA), pour les failles confirmées.

Règles et pièges

Sans clé Intelligence X, la répartition réserve quand même les clients pendant 24 h, puis le traitement ignore le message : aucun journal en base, aucune alerte.
Les seuils de 300 et de 400 clients n’écrivent qu’un avertissement, ils ne bloquent rien.
Le quota quotidien d’Intelligence X est un plafond de compte : les prospects et les clients puisent dans le même réservoir.
Si la CISA est en panne, aucune faille n’est enregistrée pendant l’heure, même celles venues de GitHub.

Correspondance technique

Nom courant	Identifiant technique
Intelligence X, clé du coffre ou de secours, adresse de l’interface	`intelx`, `INTELX_API_KEY`, `INTELX_API_URL`
File des recherches Intelligence X	`intelx-jobs`
ransomware.live version PRO, NVD	`ransomware_live`, `nvd`
GitHub, clé du coffre ou de secours	`github`, `GITHUB_TOKEN`
Seuils d’avertissement (300) et de plafond (400 clients)	`SOFT_WARN_THRESHOLD`, `HARD_CAP_THRESHOLD`
Comptes exposés	`exposed_accounts`

Où dans le code

monitoring/src/pipelines/intelx/dispatch.ts et monitoring/src/pipelines/intelx/db/scan-log.ts
monitoring/src/pipelines/sources/exposure/hudson-rock.ts
monitoring/src/pipelines/vulns/feed.ts

Questions ouvertes

La configuration du programme parle d’un plafond quotidien Intelligence X, ses types d’un plafond mensuel : lequel est vrai pour le forfait ?
Quelle durée de conservation faut-il pour les comptes exposés hors purge du client ?
Quelle base légale couvre l’envoi d’adresses de salariés à Hudson Rock ?
Une clé PRO ransomware.live est-elle présente dans le coffre en production ?