TheHive — Plateforme de réponse à incident

Rôle

TheHive est une plateforme SIRP (Security Incident Response Platform) open-source pour gérer les cas d'incident de façon collaborative : création de cas, tâches, observables (IOC), et enrichissement automatique.

Fonctionnement

# Cas -> Tâches -> Observables (IP, hash, domaine, email)
# Intégration Cortex : analyzers d enrichissement
#   (VirusTotal, MISP, Shodan...) sur chaque observable
# Intégration MISP : import/export d IOC bidirectionnel

# API REST
curl -H 'Authorization: Bearer $KEY' \
  https://thehive/api/case -d '{"title":"Incident",...}'

Dans le flux SOC

Reçoit les alertes (depuis SIEM/MISP), centralise l'investigation, marque les observables comme IOC, et alimente MISP pour le partage de renseignement. Complémentaire de Cortex (analyse) et MISP (threat intel).