Cybersécurité & Protection
Analyste SOC : détection d'intrusion, supervision et gestion d'incidents
Intermédiaire
À propos de cette formation
Cette formation pratique prépare les participants aux missions d'un analyste au sein d'un Security Operations Center (SOC). Elle couvre l'ensemble du cycle opérationnel : collecte et corrélation des journaux, détection des intrusions, gestion structurée des incidents et investigation forensic après compromission.
Objectifs de la formation
- Comprendre l'organisation et la valeur ajoutée d'un Security Operations Center (SOC)
- Cerner les missions quotidiennes et les compétences attendues d'un analyste SOC
- Maîtriser les outils de collecte, d'analyse et de supervision (SIEM, Splunk, Syslog…)
- Identifier les cas d'usage courants et les problématiques récurrentes en environnement SOC
- Mettre en œuvre des mécanismes de détection d'intrusion réseau
- Appliquer une procédure structurée de réponse à incident et de remédiation
- Conduire une analyse forensic sur un système Windows compromis
Programme détaillé
Module 1 — Le Security Operations Center (SOC)
- Rôle et périmètre d'un SOC : Logging, Monitoring, Reporting et analyse post-incident
- Bénéfices opérationnels et solutions disponibles
- SIM, SEM et SIEM : distinctions et complémentarités
- Exemple de stratégie de supervision et de surveillance continue
Module 2 — Missions et profil de l'analyste SOC
- Périmètre du métier et compétences attendues
- Surveillance, triage et priorisation des alertes et événements de sécurité
- Méthodes de traitement des incidents courants
Module 3 — Collecte et corrélation des événements
- Hétérogénéité des sources et définition d'un événement de sécurité
- Journaux système : firewalls, routeurs, serveurs, bases de données
- Collecte passive en mode écoute et collecte active
- Architecture SIEM et exploitation des données collectées
Module 4 — Optimisation de la sécurité du SI
- Panorama des solutions et produits du marché
- Syslog, programme SEC et outil Splunk
- Cadre réglementaire applicable à la sécurité des SI
- Bonnes pratiques et erreurs fréquentes à éviter
Module 5 — Détection d'intrusion : vecteurs et protocoles
- Maîtrise des protocoles réseau clés (TCP/IP, UDP, ARP, ICMP, proxy, firewall)
- Attaques sur TCP/IP : spoofing, déni de service, vol de session, exploitation SNMP
- Reconnaissance passive et active : collecte d'empreintes, scans réseau
- Trojans, backdoors, covert channels, agents DDoS et exploitation de failles
Module 6 — Gestion opérationnelle d'un incident
- Indices révélateurs d'une intrusion réussie dans un SI
- Évaluation de l'étendue de la compromission et des données exposées
- Procédure de réponse : identification du point d'entrée, endiguement et remédiation
- Boîte à outils Unix/Windows pour la collecte de preuves et la remise en production
Module 7 — Introduction à l'analyse forensic
- Informatique judiciaire : types de crimes numériques et rôle de l'enquêteur
- Panorama de la cybercriminalité contemporaine
- Notion de preuve numérique et cadre légal associé
Module 8 — Forensic d'un système Windows
- Acquisition d'une image système et compréhension du processus de démarrage
- Collecte et analyse des données volatiles et non volatiles
- Analyse du registre Windows, des mots de passe et de la mémoire vive
- Exploitation du cache, des cookies, de l'historique de navigation et des journaux d'événements
Prérequis
Avoir des connaissances solides en réseaux informatiques et maîtriser les bases de la sécurité des systèmes d'information. La connaissance du guide de sécurité du CCB/CERT.be ou de l'ANSSI est requise. Avoir suivi la formation « Initiation à la cybersécurité : fondamentaux, outils et bonnes pratiques » ou disposer d'un niveau équivalent.