Formation « Détection des incidents de sécurité »

Panorama de la détection système

• Chaîne de détection et terminologie
• Organisation des équipes
• Sources de données
• Quoi collecter ?
• Normalisation et standardisation des données
• Connaissance du SI supervisé et des pratiques d’administration
• Cycle de vie des signatures
• Tableaux de bord
• Environnement, contexte de détection, interaction avec les autres acteurs de la sécurité opérationnelle

Méthodologies

• Kill chain / Mitre attack
• « Pyramide of pain » et détection de menace connue vs inconnue
• Démarche de création et de hiérarchisation des nouvelles alertes
• Compréhension des apports de l’apprentissage automatique (machine learning)
• notions clés
• comment travailler avec les experts en mégadonnées (data scientists)

 Techniques de détection pour Windows

• Détection grâce aux journaux d’authentification :
• ActiveDirectory, Kerberos, NTLM, lsass, ntds, sam
• moyens de détection des outils et techniques de vol d’authentifiant dont mimikatz
• Techniques d’attaque et de détection Powershell
• Pré-requis et création de règles Sysmon
• Détection des techniques de latéralisation : RDP, SMB, PSRemoting, WMI
• Détection de la persistance : création de services, tâches planifiées, clés de registres, dossiers startup
• Repérage des traces générées par les outils communément utilisés par les attaquants : Cobalt Strike, Empire, Lolbins
• Fonctionnement et détection des élévations de privilège : SID, Niveau d’intégrité, token
• Détection en amont la reconnaissance faite par l’attaquant au sein du SI : adfind, bloodhoud, LOLBins

Techniques de détection de compromission d’autres environnements

• Linux : auditd, wazuh, ossec
• Réseau : scans, flux, beaconning, trafic HTTP/HTTPS sortant, trafic DNS
• Infonuagique (Cloud) : API et services
• OT (systèmes industriels, objets connectés)

Processus d’investigation d’une alerte

• Processus de chasse (hunting)
• SOAR (ochestration, automatisation et réponse aux incidents de sécurité)

Fin de session et evaluation

• Examen de certification
• A l’issue de cette formation, le stagiaire a la possibilité de passer un examen ayant pour but de valider les connaissances acquises. Cette examen de type QCM de savoir-faire, pas un simple test de connaissance, dure 1h30 et a lieu durant la dernière après-midi de formation. La réussite à l’examen donne droit à la certification SECUSOC .

Autres formation complémentaire 

• Formation Détection et réponse aux incidents de sécurité  (Blue Team )