Formation Cortex XDR

Programme de notre formation Cortex XDR

[Jour 1 – Matin]

Fondamentaux et architecture

• Comprendre le positionnement de Cortex XDR dans une stratégie de détection et réponse.
• Identifier les sources de données, les capteurs et la logique de corrélation multi-sources.
• Découvrir l’architecture générale, les composants clés et les flux d’information.
• Appréhender les notions de télémétrie, d’alertes et d’incidents dans la plateforme.
• Relier les cas d’usage SOC aux capacités natives de la solution.
• Atelier pratique : prise en main de l’interface, repérage des zones utiles et lecture d’un premier incident.

[Jour 1 – Après-midi]

Déploiement et paramétrage

• Comprendre la logique de déploiement des agents et des intégrations.
• Configurer les éléments essentiels pour préparer un environnement exploitable.
• Découvrir les profils de sécurité, les politiques et les paramètres de base.
• Analyser l’impact des choix de configuration sur la visibilité et la protection.
• Appliquer les bonnes pratiques de structuration initiale d’un tenant.
• Atelier pratique : paramétrage d’une configuration de base et validation de la remontée de données.

[Jour 2 – Matin]

Analyse des alertes

• Lire une alerte et distinguer signal utile, faux positif et événement corrélé.
• Explorer les éléments de contexte disponibles pour qualifier un incident.
• Comprendre la notion de chaîne de causalité et de scénario d’attaque.
• Utiliser les vues de synthèse pour accélérer le triage.
• Structurer une méthode d’analyse reproductible pour le SOC.
• Atelier pratique : qualification d’alertes, regroupement des indices et rédaction d’un premier diagnostic.

[Jour 2 – Après-midi]

Investigation et threat hunting

• Approfondir l’investigation d’un incident à partir des données de la plateforme.
• Rechercher les artefacts utiles pour remonter à l’origine d’une compromission.
• Découvrir les principes de threat hunting appliqués à Cortex XDR.
• Exploiter les filtres, la navigation contextuelle et les pivots d’analyse.
• Consolider une démarche d’investigation orientée preuves et chronologie.
• Atelier pratique : reconstitution d’un scénario d’attaque et recherche d’indicateurs associés.

[Jour 3 – Matin]

Réponse et remédiation

• Comprendre les actions de réponse disponibles dans la console.
• Choisir les mesures adaptées selon la criticité et le niveau de confiance.
• Gérer l’isolement, la remédiation et les actions correctives de manière contrôlée.
• Documenter les décisions et préparer la traçabilité opérationnelle.
• Intégrer la réponse dans un processus de traitement d’incident plus large.
• Atelier pratique : mise en œuvre d’actions de containment et validation du retour à un état maîtrisé.

[Jour 3 – Après-midi]

Exploitation avancée et bonnes pratiques

• Consolider les usages avancés pour fiabiliser l’exploitation quotidienne.
• Revoir les méthodes d’optimisation du triage, de la supervision et du suivi.
• Identifier les indicateurs utiles pour piloter l’activité de détection.
• Appliquer les bonnes pratiques de gouvernance, de maintien en condition et d’amélioration continue.
• Préparer une montée en autonomie sur les cas d’usage les plus fréquents.
• Atelier pratique : étude de cas complète, de la détection initiale à la réponse finale.