Le dark web monitoring est devenu une offre commerciale standard, vendu par tous les acteurs de la CTI entre 25 et 150 k€/an. Avant de signer, un RSSI doit comprendre ce qu’on y trouve vraiment, ce que les fournisseurs ne couvrent pas, et comment cadrer l’engagement pour ne pas payer 80 k€ pour des alertes inutilisables. Voici le mémo pratique.
Surface web, deep web, dark web : préciser
| Couche | Définition | Exemples | Accès |
|---|---|---|---|
| Surface web | Indexé par les moteurs publics | google.com, blogs, presse | Navigateur standard |
| Deep web | Pages non indexées, accès authentifié | Intranets, bases SaaS, drives privés | Authentification |
| Dark web | Réseaux overlays anonymisés | .onion (Tor), .i2p, ZeroNet | Tor Browser, I2P client |
| Forums clearnet criminels | Surface web, mais communautés fermées | BreachForums, XSS, Exploit (avant fermeture) | Invitation, vouching |
Un fournisseur de « dark web monitoring » couvre généralement les 4 couches, pas seulement les .onion. C’est la partie cleaner et marketplace Telegram qui pèse souvent le plus dans les détections.
Ce qu’on trouve vraiment sur le dark web
Conclusion : 42 % des détections sont des combolists (couples email/mot de passe issus de fuites tierces). C’est utile, mais on peut largement faire la même chose avec HaveIBeenPwned Enterprise pour beaucoup moins cher. Les détections vraiment uniques aux fournisseurs DW spécialisés sont sur les IAB (Initial Access Brokers) et les discussions ciblées.
Processus type d’un fournisseur DW monitoring
Bien cadrer le contrat
| Clause | À négocier | Valeur cible |
|---|---|---|
| Sources monitorées | Lister précisément (.onion, Telegram, forums clearnet, IRC) | ≥ 12 catégories couvertes |
| Sélecteurs | Nombre de domaines, marques, dirigeants, IP, CSPN, etc. | 15-50 selon org |
| SLA de triage analyste | Délai entre détection brute et alerte qualifiée | < 24 h pour H, < 4 h pour critique |
| Take-down inclus | Demandes de retrait au registrar ou hébergeur | 5-15 par an inclus |
| Réversibilité | Récupération de l’historique des alertes en cas de résiliation | JSON export complet |
| Reporting exécutif | Synthèse mensuelle pour COMEX | 1 page + briefing trimestriel |
Quand le faire en interne
Une organisation avec un SOC mature peut faire du DW monitoring en interne avec :
- Un MISP / OpenCTI bien alimenté
- Quelques sources gratuites (DarkOwl démo, Onion.live indexer, Telegram public scraping)
- Du temps analyste : compter 0,3 à 0,5 ETP
Coût marginal : 30-60 k€/an en charge interne. Au-delà, le fournisseur reste plus rentable. Surtout, l’accès aux forums fermés (XSS, Exploit, Crdclub) demande un travail d’identité de cover et de vouching que peu d’équipes internes peuvent légalement assumer.
Le dark web monitoring est utile mais surévalué. La majorité des incidents notifiés à nos clients en 2024 (notamment ransomware) avaient déjà des signes faibles détectables sur le clearnet — Twitter/X, GitHub fuites, Pastebin — pour bien moins cher.
Recommandation
Commencer par la chasse aux signes faibles clearnet (HaveIBeenPwned, gitleaks sur GitHub public, OSINT sociale). N’investir en dark web monitoring que si : (1) votre secteur est ciblé prioritairement (finance, énergie, gouv, défense), (2) vous avez un SOC capable de traiter les alertes, (3) vous avez besoin d’un fournisseur capable d’agir (take-down, infiltration).
