Formation Certification Blue Team Level 2

Programme de notre formation Blue Team Level 2

[Jour 1 – Matin]

Cadre de certification et méthodologie SOC

• Positionnement de la certification Blue Team Level 2 (BTL2) et compétences évaluées.
• Organisation des quatre domaines : malware analysis, threat hunting, advanced SIEM et vulnerability management.
• Déroulement d une investigation, de la qualification initiale à la restitution des résultats.
• Priorisation des alertes, gestion des preuves et construction d une chronologie d incident.
• Lecture d un scénario de compromission et identification des livrables attendus pour l examen.

[Jour 1 – Après-midi]

Fondamentaux de l investigation avancée

• Collecte et qualification des indicateurs de compromission : hachages, domaines, adresses IP et artefacts hôtes.
• Analyse des événements Windows, des processus, des services et des mécanismes de persistance.
• Exploitation des journaux réseau et des traces DNS, HTTP et authentification.
• Structuration d hypothèses d investigation et validation par recoupement des sources de télémétrie.
• Atelier pratique : analyser un jeu de journaux hôte et réseau afin d établir une première chronologie de compromission.

[Jour 2 – Matin]

Analyse statique de malwares

• Cadre de sécurité pour manipuler un fichier suspect dans un environnement isolé.
• Identification du type de fichier, de son empreinte, de sa structure et de ses métadonnées.
• Recherche de chaînes, d imports, de ressources et d artefacts utiles à la qualification.
• Extraction d indicateurs et détection de techniques d obfuscation ou de contournement.
• Création et validation de règles YARA pour caractériser une famille de malwares.

[Jour 2 – Après-midi]

Analyse dynamique et comportements malveillants

• Préparation d une machine virtuelle de détonation et principes de confinement.
• Observation des processus, fichiers, clés de registre, tâches planifiées et connexions réseau.
• Analyse des communications de commande et contrôle et identification des comportements anormaux.
• Mise en relation des actions observées avec les tactiques et techniques MITRE ATT&CK.
• Atelier pratique : réaliser l analyse statique et dynamique d un échantillon contrôlé, puis produire les indicateurs et comportements observés.

[Jour 3 – Matin]

Threat hunting fondé sur les hypothèses

• Principes du threat hunting et différence entre détection réactive et recherche proactive.
• Construction d hypothèses à partir du renseignement sur les menaces et des techniques adverses.
• Sélection des sources de données : endpoints, identité, réseau, messagerie et cloud.
• Recherche de signaux faibles, anomalies comportementales et pivots entre événements.
• Qualification des résultats, réduction des faux positifs et préparation des actions de réponse.

[Jour 3 – Après-midi]

Investigation et détection dans le SIEM

• Recherche avancée dans un SIEM : filtres, agrégations, jointures et corrélations.
• Analyse des authentifications, élévations de privilèges, mouvements latéraux et exfiltrations.
• Conception de requêtes de détection alignées sur une hypothèse de compromission.
• Documentation des résultats et enrichissement des alertes avec le contexte utile aux analystes.
• Atelier pratique : mener une chasse aux menaces dans un SIEM à partir d une hypothèse liée à un mouvement latéral.

[Jour 4 – Matin]

Détection avancée et amélioration continue

• Cycle de vie d une règle de détection : besoin, données, logique, tests et mise en production.
• Écriture et adaptation de règles Sigma pour normaliser les détections.
• Évaluation de la couverture de détection au regard de MITRE ATT&CK.
• Réduction du bruit, réglage des seuils et critères de priorisation des alertes.
• Mesure de l efficacité opérationnelle : qualité des données, couverture et délais de traitement.

[Jour 4 – Après-midi]

Gestion des vulnérabilités orientée risque

• Cycle de gestion des vulnérabilités : découverte, évaluation, priorisation, correction et contrôle.
• Interprétation des résultats de scan et mise en contexte des scores CVSS.
• Prise en compte de l exposition, de l exploitabilité, des actifs critiques et des menaces actives.
• Construction d un plan de remédiation et suivi des exceptions de sécurité.
• Atelier pratique : prioriser un ensemble de vulnérabilités à partir des risques métier et rédiger un plan de remédiation.

[Jour 5 – Matin]

Restitution et rapport d incident

• Structure d un rapport d investigation adapté aux attentes de la certification.
• Formalisation du périmètre, des sources examinées, de la chronologie et des preuves collectées.
• Présentation des indicateurs, techniques adverses, impacts potentiels et niveaux de confiance.
• Formulation de recommandations de confinement, d éradication, de remédiation et de détection.
• Relecture critique : précision technique, traçabilité des constats et clarté pour les décideurs.

[Jour 5 – Après-midi]

Simulation de préparation à l examen

• Récapitulatif des domaines et des compétences clés de Blue Team Level 2 (BTL2).
• Stratégie de gestion du temps pour une investigation pratique étendue.
• Choix des outils, journalisation des actions et conservation des éléments de preuve.
• Autoévaluation des lacunes et plan de préparation individuel avant le passage de l examen.
• Atelier pratique : traiter un scénario de compromission de bout en bout, analyser les preuves et restituer un rapport synthétique de type examen.