Formation Certification Certified Junior Detection Engineer

Programme de notre formation Certified Junior Detection Engineer

[Jour 1 – Matin]

Fondamentaux de la détection et cadrage de la certification

• Positionnement de la certification Certified Junior Detection Engineer (CJDE) et compétences attendues.
• Rôle de l’ingénierie de détection dans un SOC, distinction avec le threat hunting et la réponse à incident.
• Cycle de vie d’une détection, de l’hypothèse de menace au suivi de la qualité.
• Panorama des sources de télémétrie, journaux endpoint, réseau, identité et applications.
• Révision des concepts TCP/IP, DNS, HTTP, routage et services réseau utiles à l’analyse.
• Atelier pratique : cartographier les sources de logs d’un SOC fictif et associer chaque source aux menaces qu’elle peut aider à détecter.

[Jour 1 – Après-midi]

Analyse système et réponse à incident

• Artefacts de sécurité essentiels sous Windows et Linux.
• Lecture des journaux d’authentification, de processus, de services et d’activité système.
• Chaîne d’analyse d’une alerte, qualification, enrichissement, priorisation et escalade.
• Indicateurs de compromission, comportements suspects et éléments de preuve.
• Rappels sur le confinement, la conservation des éléments utiles et le retour d’expérience.
• Atelier pratique : qualifier une alerte d’authentification suspecte à partir de journaux Windows et Linux, puis rédiger les actions de réponse initiales.

[Jour 2 – Matin]

Réseau et télémétrie de sécurité

• Analyse des flux réseau, des sessions, des protocoles et des métadonnées.
• Utilisation de Wireshark et tcpdump pour examiner le trafic suspect.
• Repérage des anomalies DNS, des connexions sortantes inhabituelles et des communications de commande et contrôle.
• Compréhension des logs de pare-feu, proxy, IDS et équipements réseau.
• Construction d’hypothèses de détection à partir de techniques d’attaque observables sur le réseau.
• Atelier pratique : analyser une capture réseau pour identifier une activité suspecte, extraire les indicateurs pertinents et définir une logique de détection.

[Jour 2 – Après-midi]

Détection réseau avec Zeek

• Architecture et objectifs de Zeek dans une stratégie de détection réseau.
• Lecture des principaux journaux Zeek, connexions, DNS, HTTP, SSL et fichiers.
• Corrélation des événements réseau pour construire un scénario d’investigation.
• Identification de comportements liés à l’exfiltration, au scan, au beaconing et aux téléchargements suspects.
• Principes de création, de test et d’ajustement d’une détection fondée sur la télémétrie réseau.
• Atelier pratique : exploiter des logs Zeek pour détecter un schéma de beaconing et documenter les critères de réglage de la détection.

[Jour 3 – Matin]

Règles Sigma et détection portable

• Principes de la détection déclarative avec Sigma et structure d’une règle.
• Choix des champs, opérateurs, conditions et métadonnées pour une détection maintenable.
• Traduction d’un scénario de menace en logique de détection basée sur les événements.
• Bonnes pratiques de versionnement, de documentation et de validation d’une règle.
• Limites des règles génériques et adaptation au contexte de collecte de l’organisation.
• Atelier pratique : écrire une règle Sigma de détection d’exécution suspecte, la tester sur des événements fournis et améliorer ses conditions.

[Jour 3 – Après-midi]

YARA et analyse orientée malware

• Objectifs de YARA pour l’identification de fichiers et de familles de malwares.
• Syntaxe des règles, chaînes, conditions, modificateurs et bonnes pratiques de lisibilité.
• Différence entre indicateurs statiques, signatures fragiles et comportements détectables.
• Exploitation d’artefacts de fichiers pour enrichir une investigation et une détection.
• Validation des règles YARA, maîtrise des faux positifs et documentation des limites.
• Atelier pratique : concevoir une règle YARA à partir d’échantillons inoffensifs et d’artefacts fournis, puis évaluer sa précision.

[Jour 4 – Matin]

SIEM, requêtes et réglage des alertes

• Fonctions d’un SIEM dans la centralisation, la recherche et la corrélation des événements.
• Approches de requêtage dans Splunk, Elastic et Graylog.
• Construction d’une détection à partir d’une requête, d’un seuil ou d’une séquence d’événements.
• Mesure de la qualité, taux de faux positifs, couverture, criticité et exploitabilité des alertes.
• Méthode de tuning, exceptions justifiées, listes d’autorisation et conservation de la visibilité.
• Atelier pratique : créer une requête de détection dans un SIEM, analyser les résultats et la régler pour réduire les alertes non pertinentes.

[Jour 4 – Après-midi]

Threat intelligence et détection comportementale

• Différences entre renseignement stratégique, opérationnel et tactique.
• Évaluation de la fiabilité, de la fraîcheur et de la pertinence des indicateurs de compromission.
• Intégration de la threat intelligence dans les recherches, les règles et les investigations.
• Approche comportementale, lignes de base, anomalies et détections résistantes aux changements d’indicateurs.
• Apports et limites de l’IA dans les flux de travail de détection et de priorisation.
• Atelier pratique : enrichir un cas de compromission avec des indicateurs et concevoir une détection comportementale complémentaire.

[Jour 5 – Matin]

Detection as Code et industrialisation

• Principes de Detection as Code pour rendre les règles traçables, réutilisables et contrôlées.
• Utilisation de Git, commits, branches et revues de code appliqués aux contenus de détection.
• Organisation d’un dépôt de règles, conventions de nommage et gestion des métadonnées.
• Stratégie de tests, jeux de données de validation et contrôle des régressions.
• Préparation du déploiement, suivi post-déploiement et amélioration continue des détections.
• Atelier pratique : versionner une règle Sigma dans un dépôt Git, documenter son objectif et préparer un plan de test avant déploiement.

[Jour 5 – Après-midi]

Révision et préparation à l'examen pratique

• Révision transversale des domaines couverts par la certification Certified Junior Detection Engineer (CJDE).
• Analyse de scénarios de type examen, collecte des éléments, priorisation et justification technique.
• Méthode de gestion du temps pour une évaluation pratique longue durée.
• Vérification des livrables, clarté des conclusions, traçabilité des décisions et qualité de la documentation.
• Identification des axes de révision individuels, des erreurs fréquentes et des réflexes à adopter avant l’examen.
• Atelier pratique : réaliser une mise en situation de synthèse combinant analyse de logs, création de règle, réglage et restitution d’un cas de détection.