Cybersécurité - CTI opérationnelle
0/10
(0 avis)
Formation créée le 23/05/2025.
Version du programme : 1
Programme de la formation
Objectif de la formation : Développer une compétence opérationnelle en Cyber Threat Intelligence (CTI) centrée sur l’identification, l’analyse et l’exploitation des indicateurs de compromission (IOC) afin de renforcer les dispositifs de défense périmétriques (firewall, proxy, SIEM, EDR).
Objectifs de la formation
- Comprendre le cycle de la threat intelligence appliqué à la détection des IOC
- Savoir rechercher, valider et enrichir des IOC via des sources ouvertes et communautaires
- Intégrer les IOC dans les dispositifs de défense : firewall, EDR, SIEM, IDS/IPS
- Mettre en place un processus de veille et de mise à jour des défenses à partir de la CTI
Profil des bénéficiaires
Pour qui
- Analystes SOC N1/N2, Blue Team
- Membres de CSIRT ou CERT
- Administrateurs sécurité réseau / systèmes
- RSSI techniques, défense opérationnelle
Prérequis
- Connaissances de base en réseaux et en analyse de logs
- Sensibilisation à la cybersécurité et aux menaces (MITRE ATT&CK, IOC, Kill Chain)
Contenu de la formation
-
Introduction à la CTI opérationnelle (2h)
- CTI : stratégique, tactique, opérationnelle
- Cycle de production du renseignement
- Rôle de la CTI dans la détection et la réponse à incident
-
Typologie et cycle de vie des IOC (2h30)
- IOC réseaux, fichiers, comportements, email, machines
- Qualité, pertinence, confiance, score de priorité
- Activité : analyse d’un set d’IOC (hash, domaine, IP) dans un cas de compromission
-
Sources et plateformes IOC (2h30)
- MISP, OTX, AbuseIPDB, CIRCL, Anyrun, VirusTotal
- Threat feeds commerciaux vs open source
- Activité : enrichissement d’IOC à partir de MISP et OpenCTI
-
Enrichissement et corrélation (2h30)
- Mapping MITRE ATT&CK, TTP, liens entre IOC
- Corrélation avec des logs (EDR, SIEM)
- Activité : création d’une fiche d’attaque à partir d’IOC détectés (Kill Chain)
-
Intégration dans les outils de défense (2h)
- IOC dans EDR (Crowdstrike, SentinelOne...), firewall, IDS/IPS
- Format STIX, TAXII, automatisation via MISP
- Activité : intégration de règles Snort/Suricata à partir d’IOC collectés
-
Tests et surveillance active (2h30)
- Threat hunting, pièges à IOC, honeypots, replay d’attaques
- Monitoring des IOC en environnement simulé (SIEM, Sysmon)
- Atelier : simulation de détection d’IOC en environnement lab
-
Veille continue et automatisation (2h)
- Scraping, API IOC, agrégateurs, score de menace
- Automatisation dans SIEM/EDR avec scripts ou playbooks
- Activité : création d’un flux IOC vers un outil de détection
-
Partage, communication et collaboration (2h30)
- CTI sharing : ISAC, MISP communautaire, CERT-FR
- Gestion des échanges IOC entre entités (public/privé)
- Activité : constitution d’un rapport IOC partageable inter-équipe
-
Structuration de la CTI opérationnelle (2h30)
- Organisation d’une fonction CTI dans un SOC
- Intégration avec détection, investigation, remédiation
- Atelier : plan d’intégration CTI opérationnelle dans une démarche Blue Team
Équipe pédagogique
Professionnel expert technique et pédagogique.
Accessibilité
05 au 07 janvier 2026