Cybersécurité & Protection
Détection d'intrusions et SOC : techniques d'attaque, outils de défense et rôle de l'analyste
Intermédiaire
À propos de cette formation
Ce cours très pratique de 4 jours confronte les participants aux attaques les plus évoluées — spoofing, buffer overflow, injection SQL, DDoS — sur des cibles réelles, et leur enseigne comment y répondre. Il couvre également les fondamentaux du Security Operation Center (SOC), les outils SIM, SIEM et SEM, ainsi que le métier d'analyste SOC, de la surveillance des alertes à la gestion complète d'un incident d'intrusion.
Objectifs de la formation
- Identifier et comprendre les techniques d'analyse et de détection d'intrusions
- Acquérir les connaissances pour déployer différents outils de détection d'intrusion
- Mettre en œuvre les solutions de prévention et de détection d'intrusions
- Comprendre les concepts et l'environnement d'un SOC
- Savoir utiliser les outils d'analyse propres à l'analyste SOC
Programme détaillé
Module 1 — Protocoles réseau pour la détection d'intrusions
- IP, TCP, UDP, ARP et ICMP sous l'angle de la sécurité
- Routage forcé de paquets IP (source routing) et gestion de la fragmentation
- Technologies de filtrage : routeur filtrant, firewall stateful inspection, proxy et reverse proxy
Module 2 — Attaques sur TCP/IP
- Spoofing IP et attaques par déni de service
- Prédiction de numéros de séquence TCP et hijacking de session (Hunt, Juggernaut)
- Attaques sur SNMP et TCP Spoofing
Module 3 — Intelligence Gathering
- Collecte d'informations par interrogation de bases Whois, DNS et moteurs de recherche
- Identification des serveurs cibles et analyse des règles de filtrage
- Techniques de reconnaissance et scans réseaux non intrusifs
Module 4 — Détecter les trojans et les backdoors
- État de l'art des backdoors sous Windows et Unix
- Installation de trojans et exploitation de bugs navigateurs
- Covert Channels : communications dissimulées via ICMP
Module 5 — Attaques et exploitation des failles
- Prise de contrôle de serveur : recherche et exploitation de vulnérabilités
- Contournement de firewall avec netcat et rebonds
- Buffer overflow, Format String, Heap Overflow et vulnérabilités web
- Injection SQL, vol de données en base, DDoS, RootKits et suppression des traces
Module 6 — Le SOC (Security Operation Center)
- Rôle et fonctions du SOC : Logging, Monitoring, Reporting, analyses post-incidents
- Solutions SOC : SIM (Security Information Management), SIEM et SEM
- Stratégie de monitoring et bénéfices d'un SOC pour l'organisation
Module 7 — Le métier de l'analyste SOC
- Rôle, compétences et périmètre de l'analyste SOC
- Surveillance, triage et priorisation des alertes et événements de sécurité
Module 8 — Gérer un incident d'intrusion
- Reconnaître les signes d'une intrusion réussie dans un SI
- Évaluer l'impact : accès obtenus, étendue de la compromission et point d'entrée
- Boîte à outils Unix/Windows pour la recherche de preuves
- Nettoyage et remise en production sécurisée des serveurs compromis
Prérequis
Bonnes connaissances en réseaux et sécurité. Connaissance du guide d'hygiène sécurité du CCB/CERT.be ou de l'ANSSI. Avoir suivi un parcours introductif à la cybersécurité.