Détection et réponse aux incidents

Objectifs pédagogiques

• Définir la télémétrie nécessaire à la sécurité et en mesurer les lacunes
• Construire et tester des détections explicables
• Qualifier et prioriser alertes et incidents
• Investiguer en préservant originaux, chronologie et provenance
• Décider confinement, éradication et reprise avec impacts et autorisations
• Organiser coordination, communication et retour d'expérience
• Démontrer les limites de preuve d'une réponse à incident

Programme indicatif

1. Télémétrie et qualité des événements
2. Horodatage, provenance et normalisation
3. Chronologie et corrélation
4. Ingénierie de détection
5. Wazuh et événements hôte hors ligne
6. Suricata EVE et détection réseau
7. Triage et investigation
8. Préservation des preuves
9. Confinement et éradication
10. Reprise et surveillance
11. Coordination et playbooks
12. Renseignement de menace et IOC
13. Automatisation avec approbation humaine
14. Post-incident et amélioration

Compétences visées

• Évaluer une couverture de télémétrie
• Normaliser et corréler des événements
• Écrire et tester une détection
• Trier une alerte
• Construire une chronologie d'investigation
• Préserver la provenance d'une preuve
• Préparer une décision de confinement
• Valider une reprise et un retour à l'état de confiance

Modalités pédagogiques et validation

La matière suit une démarche pratique : mission, manipulation, observation, explication, vérification, dépannage et documentation.

• Analyse de télémétrie et chronologie
• Règles de détection testées
• Triage et dossier d'investigation
• Décisions de confinement et reprise
• Projet final SORIA Distribution

Projet proposé

Reconstituer un incident simulé sur SORIA Distribution, préserver les originaux, qualifier les faits, décider la réponse, valider la reprise et produire un dossier complet avec limites de preuve.