Formation Détection et réponse aux incidents de sécurité

Jour 1 : Gestion des Incidents (CSIRT) & Triage Numérique (DFIR)

Module 1 : Gouvernance de crise et cycle de l’incident

• Organisation d’un CSIRT / CERT : rôles, responsabilités, processus de communication et outillage de crise.
• Le cycle de gestion de l’incident : préparation, identification, confinement, éradication, recouvrement et post-mortem.

Module 2 : Triage et collecte d’artéfacts de sécurité

• Principes de l’investigation numérique (DFIR) et préservation de la preuve (chaîne de caution).
• Collecte d’artéfacts volatiles (mémoire vive) et persistants (journaux d’événements, base de registre Windows, logs systèmes Linux).
• TP 1 : Analyse forensic rapide d’une machine Windows victime d’une exécution de payload persistant. Extraction d’indicateurs de compromission (IoC).

Jour 2 : Chasse aux Menaces (Threat Hunting) & Écriture de Règles

Module 3 : Méthodologie de Threat Hunting

• Chasse proactive vs détection réactive : formulation d’hypothèses basées sur la Cyber Threat Intelligence (CTI).
• Utilisation de la matrice MITRE ATT&CK pour modéliser le comportement des groupes d’attaquants (APT).

Module 4 : Conception de règles de détection

• Normalisation des logs et écriture de règles de corrélation universelles via le format Sigma.
• Création de signatures YARA pour la détection de codes malveillants statiques et en mémoire vive.
• TP 2 : Rédaction d’une règle Sigma ciblant un mouvement latéral par élévation de privilèges (Kerberoasting) et déploiement dans un environnement SIEM.

Jour 3 : Émulation Purple Team & Simulation de Crise (Cyber Range)

Module 5 : Collaboration Purple Team

• Alignement Red Team (Attaque) / Blue Team (Défense) : automatisation de l’émulation d’attaques (Atomic Red Team).
• Mise en place d’une boucle d’amélioration continue pour combler les angles morts de la supervision.

Module 6 : Exercice de confinement en situation réelle

• TP 3 / Grand Scénario final : Simulation de crise d’intrusion majeure sur notre Cyber Range. Les participants reçoivent une alerte initiale et doivent mener l’investigation, identifier la portée du compromis, appliquer des mesures de confinement réseau immédiates et éradiquer la persistance de l’attaquant.

Fin de session & evaluation

• Validation des acquis : Évaluation finale basée sur l’efficacité des mesures de confinement prises durant la simulation, la pertinence du rapport d’incident technique rédigé par l’apprenant, et la réussite du QCM théorique de fin de session.

Profil Formateur

Consultant  en Réponse aux Incidents  & Purple Teamer

• Expertise Terrain : Esteban F : Spécialiste de la gestion des compromissions complexes, intervenant régulièrement auprès de cellules de crise de grands comptes industriels et étatiques. 5 ans d’expérience dans l’ingénierie défensive, le Threat Hunting et l’audit de systèmes d’information critiques.

Autre formation disponible

• Lead Pentester : Cursus Pentest 2.0 & Offensive IA
• Techniques de Hacking Avancées
• Tests d’Intrusion appliqués aux Systèmes Industriels (OT)