Sécurité défensive - Détection et réponse aux incidents de sécurité - Niveau intermédiaire
0/10
(0 avis)
Formation créée le 01/08/2024. Dernière mise à jour le 23/05/2025.
Version du programme : 1
Programme de la formation
Objectif de formation : Fournir aux participants des compétences intermédiaires en matière de détection et de réponse aux incidents de sécurité informatique.
Objectifs de la formation
- Comprendre et utiliser les principales architectures de détection.
- Identifier et décrire les marqueurs (IOCs, Yara) et les modes opératoires (TTP).
- Reconnaître les différentes phases d'une attaque informatique (Kill Chain) et appliquer les réactions appropriées.
- Utiliser des outils et des méthodologies pour réaliser une première qualification des incidents de sécurité.
Profil des bénéficiaires
Pour qui
- Analystes en sécurité informatique
- Ingénieurs en sécurité
- Responsables de la sécurité des systèmes d'information (RSSI)
Prérequis
- Connaissance de base des concepts de sécurité informatique
- Expérience préalable en analyse des incidents et en sécurité des systèmes d'information
Contenu de la formation
-
Introduction aux architectures de détection (3.5h)
- Présentation des principales architectures de détection
- Architectures centralisées et décentralisées
- Détection basée sur les signatures vs. détection comportementale
- Utilisation des architectures de détection dans le cadre d’une réponse à un incident de sécurité
- Surveillance en temps réel et analyse rétrospective
- Travaux pratiques : Configuration d'une architecture de détection, mise en place d'une architecture de détection centralisée, analyse des données collectées
-
Cas d'utilisation des architectures de détection (3.5h)
- Scénarios d'utilisation typiques
- Détection d'intrusions, de malwares, d'anomalies
- Limites et défis des architectures de détection
- Faux positifs et faux négatifs
- Scalabilité et performance
- Travaux pratiques : Scénarios de détection d'incidents, simulation de différents types d'incidents, analyse des résultats et discussion
-
Introduction aux formats de marqueurs (IOCs, Yara, etc.) (3.5h)
- Présentation des principaux formats de marqueurs
- Indicators of Compromise (IOCs)
- Yara rules
- Rôle des marqueurs dans la réponse à incident
- Détection et identification des menaces
- Travaux pratiques : Création et utilisation de marqueurs
- Écriture de règles Yara
- Utilisation d'IOCs dans un scénario de détection
-
Modes opératoires (TTP) et leur rôle dans la réponse à incident (3.5h)
- Présentation des tactiques, techniques et procédures (TTP)
- Framework MITRE ATT&CK
- Utilisation des TTP pour comprendre les comportements des attaquants
- Analyse des TTP pour la détection et la prévention
- Travaux pratiques : Analyse des TTP dans des scénarios d'attaques, utilisation du framework MITRE ATT&CK, identification des TTP dans des incidents simulés
-
Présentation des différentes phases d’une attaque informatique (Kill Chain) (3.5h)
- Introduction au modèle Kill Chain
- Reconnaissance, livraison, exploitation, installation, commande et contrôle, actions sur objectifs
- Importance de chaque phase et détection précoce
- Techniques de détection pour chaque phase
- Travaux pratiques : Analyse d'une attaque selon le modèle Kill Chain, identification des phases d'une attaque simulée, détection et réponse à chaque phase
-
Réactions possibles et appropriées (monitoring, endiguement, supervision) (3.5h)
- Stratégies de réponse à incident
- Surveillance et monitoring
- Endiguement et confinement
- Supervision et récupération
- Techniques et outils pour la réponse à incident
- Utilisation de scripts et d'outils pour l'automatisation des réponses
- Travaux pratiques : Mise en œuvre de stratégies de réponse à incident, simulation d'incidents et réponses appropriées, analyse des résultats et retour d'expérience
-
Présentation des outils de qualification des incidents (3.5h)
- Introduction aux principaux outils de qualification des incidents
- SIEM, IDS/IPS, EDR
- Méthodologies pour une première qualification
- Analyse des journaux, corrélation des événements
- Travaux pratiques : Utilisation des outils pour qualifier des incidents, configuration et utilisation d'un SIEM, qualification des incidents à partir des alertes générées
-
Études de cas et méthodologies d'analyse (3.5h)
- Études de cas d'incidents réels
- Analyse détaillée des incidents
- Identification des points critiques
- Méthodologies d'analyse et de réponse
- Techniques d'investigation et de résolution
-
Démonstrations pratiques d'outils de détection et de réponse (3.5h)
- Présentation des outils de détection et de réponse
- Utilisation de Wireshark, Splunk, ELK, etc.
- Scénarios d'utilisation des outils dans des contextes réels
- Détection de malwares, analyse des comportements suspects
- Travaux pratiques : Mise en œuvre des outils dans des scénarios simulés, configuration et utilisation des outils, analyse des résultats et interprétation
-
Exercices avancés de détection et de réponse (3.5h)
- Scénarios complexes d'incidents de sécurité
- Attaques avancées (APT), ransomware, etc.
- Techniques avancées de détection et de réponse
- Utilisation de techniques de threat hunting
- Travaux pratiques : Exercices de détection et de réponse avancés, simulation d'incidents complexes, analyse des résultats et développement de stratégies de réponse
Équipe pédagogique
Professionnel expert technique et pédagogique.
Accessibilité
24 au 28 novembre 2025