SIEM/SOC
Expertise
NS108
Sommaire
Description
Le cours SIEM / SOC Expertise est spécialement destiné au perfectionnement des experts chargés du centre des opérations de sécurité.
Les fondamentaux sont enrichis par des concepts et des outils spécifiques à la gestion des incidents, à la détection d’intrusion, au management des outils informatiques de sécurité avancée et aux techniques forensiques.
Ce cours sur le fonctionnement du SOC (centre opérationnel de sécurité) est conçu pour les organisations qui mettent en œuvre une solution SOC. Il fournit des conseils complets sur les compétences et les procédures nécessaires à son fonctionnement.
Les participants acquièrent les compétences sur tous les aspects nécessaires à une équipe SOC pour maintenir le niveau de cybersécurité désiré.
Comment réussir au mieux ce cours
Pour réussir ce cours, il vous faudra :
- Participer à l’ensemble des labos
- Produire du travail personnel entre les cours
- Exécuter les exercices, s’auto-former, réaliser les tâches demandées, etc.
Outre une participation active au cours, le participant doit fournir au moins 10h de travail personnel durant la semaine de cours afin d’acquérir une expérience pratique dans les domaines enseignés.
Le participant doit également posséder un ordinateur personnel capable de faire tourner un système virtuel avec une connexion Internet stable (voir ci-dessous pour plus de détails).
Public cible
Le cours s’adresse à des participants ayant des connaissances de base en matière de réseaux informatiques, qui souhaitent former des analystes et des intervenants en cas d’incident du SOC, ou à des personnes qui font office d’analystes de la sécurité des entreprises. Analystes et opérateurs SOC de niveau 1.
- Intervenants en cas d’incident
- Administrateurs système/réseau
- Personnel de sécurité informatique
- Futurs formateurs
Objectifs
- Fournir aux participants une solide compréhension de l’environnement SOC, de ses rôles et de ses fonctionnalités
- Donner aux participants la possibilité d’acquérir des compétences pratiques pour travailler au sein d’un SOC en tant qu’analystes de niveau 1 et intervenants en cas d’incident
- Comprendre le travail des enquêteurs cybernétiques dans un SOC
- Comment mettre en pratique les connaissances acquises en temps réel grâce à l’environnement de simulation
À la fin du cours SOC / SIEM, les participants savent gérer l’équipe du centre opérationnel de sécurité et intervenir pour éviter les cyberrisques.
Prérequis
- Compétences confirmées en sécurité des réseaux et connaissances approfondies des cybermenaces
- SIEM / SOC Les fondamentaux
Syllabus
Description
Au cours de ce module, les participants approfondissent l’étude des packages de données, apprennent à identifier les anomalies du réseau et à comprendre les alertes du système. Les participants maîtrisent l’utilisation d’outils connus d’interface en ligne de commande (CLI) et d’interface utilisateur graphique (GUI) pour se spécialiser davantage dans ce domaine. Les participants apprennent des méthodologies pour aborder les enquêtes sur les incidents.
Contenu technique
- Outils et méthodes de base de détection des intrusions
o Sysmon
o Wireshark avancé
o Découverte des comptes d’utilisateurs
o OS Fingerprinting
o Intégration du GeoIP
o Analyse des flux
o Enquête sur les incidents
o Tables de hash
o Analyser les cyberévénements
o Filtrage du Web
o Événements du réseau
o TShark : Outil CLI Wireshark - Utilisation du module Scapy
o Elaboration et analyse des packages
o Travailler avec des fichiers PCAP
o Reproduction de packages pour l’enquête
Description
Ce module permet de descendre jusqu’au SIEM (Security Information and Event Management – gestion des informations et événements sécurité), principal système utilisé par les analystes du SOC pour surveiller le réseau. Les participants installent une plateforme SIEM librement disponible et simulent différents scénarios à travers un environnement virtuel préparé à l’avance, imitant une organisation. L’environnement virtuel comprend : Pare-feu, WAF, un contrôleur de domaine et un antivirus.
Les participants démontrent dans un environnement en temps réel les différentes compétences pratiques acquises pendant le cours.
Contenu technique
Construire l’environnement SIEM
- Installation d’AlienVault
Exploitation et configuration de votre SIEM Surveillance et corrélation SIEM Notifications - Mise en place d’un SIEM Open Source Connexion des appareils au SIEM Évaluation et suivi de la vulnérabilité Contrôle de l’intégrité des fichiers (FIM)
- Déploiement de Security-Onion Installation et configuration de Security-Onion Améliorer le filtrage de vos logs avec Bro
- Définir votre méthodologie en matière de cybermenaces
- Surveillance et journalisation du réseau et de l’hôte DLP
Surveillance à l’aide de l’environnement virtuel - Surveillance et gestion des pare-feu à l’aide de Glasswire
- Plateformes d’exploitation forensiques centralisées
- Passerelle de courrier électronique et de spam et filtrage des passerelles web
- Surveillance des menaces et renseignements
- Liste blanche des applications ou contrôle de l’intégrité des fichiers
- Évaluation et suivi de la vulnérabilité
- Définir votre méthodologie en matière de cybermenaces
Description
Ce module explique et développe l’utilisation de Windows Management Instrumentation. Les participants apprennent comment le processus de gestion de base est accompli et comment utiliser WMI pour gérer les ordinateurs locaux et distants sur le réseau LAN. Ils consolident les connaissances acquises dans la construction d’outils de compétences dans les scripts PowerShell et l’utilisation régulière de WMI.
Contenu technique
Architecture du WMI
- Classes et espaces de noms WMI
- Utilisation des méthodes WMI
- Associations
- Travailler avec des ordinateurs distants
- Accès au registre
- Collecte d’informations
- Informations sur le stockage
- Exécution des commandes
- Événements WMI communs
- Détection avec WMI
Description
Ce module apprend aux participants à gérer un incident de sécurité d’entreprise, tout en évitant les erreurs courantes, ce qui augmente à la fois l’efficacité et l’efficience des efforts de réponse aux incidents.
Contenu technique
Outils et techniques pour les enquêtes forensiques numériques
- Analyse des données
- Analyse des formats de données à des fins d’enquête
- Analyse du comportement
- Examen des techniques de collecte de données
- L’essentiel de l’IR
- Politique de base et détection commune
- Nouveaux systèmes de relevé d’empreintes digitales
- Introduction à la chasse aux menaces
Labos
- Labo 1 Événements Windows
- Labo 2 Evénements Sysmon
- Labo 3 Manipulation du texte
- Labo 4 Travailler avec Tshark
- Labo 5 ELK
- Labo 6 Analyse du registre
- Labo 7 Analyse des processus
- Labo 8 Filtrage avancé à l’aide de Zeek
- Labo 9 Travailler avec WMI
Type de Cours
Le participant peut bénéficier d’un des deux modes de cours :
- Une classe de cours virtuelle avec des labos avec instructeur et des scénarios exécutés dans notre Cyberium Arena
- Des cours in situ avec des labos avec instructeur et des scénarios exécutés dans notre Cyberium Arena
Cependant, en raison des restrictions sanitaires, l’ensemble des cours se fait sous la forme de classes virtuelles. Toutes les sessions sont enregistrées et peuvent re-visionnées pendant 30 jours. Tout le matériel de cours est mis à disposition du participant sous forme électronique, couvrant les syllabus, les labos, et les cas d’études.
Groupe de cours: Fondamentaux
Entre Pratique et Théorie
Notre approche de la formation est éminemment pratique et vise à permettre au participant d’appliquer dans un contexte pratique les connaissances qu’il acquiert.CERTIFICATION
Ce cours prépare aux certifications suivantes:
- CISM (ISACA),
- GSEC (SANS)
- GMON (SANS)
Équipement requis
Connexion réseau
Comme ce cours est essentiellement fondé sur un Learning Managament System (LMS), incluant une arène pour les labos, les étudiants ont besoin d’une connexion fiable à Internet.Apporter votre propre matériel
Le cours étant principalement basé sur la pratique, les étudiants doivent avoir un ordinateur portable avec :- L’audio et la vidéo
- 8 GB RAM
- 200 GB d’espace disque
- La capacité d’un environnement virtuel (capable de faire tourner la dernière version de Virtualbox ou un simulateur de machine virtuelle équivalent)
