Formation DFIR-IRIS : plateforme collaborative

Programme de notre formation DFIR-IRIS : gestion collaborative des incidents de cybersécurité

[Jour 1 – Matin]

Prendre en main DFIR-IRIS et organiser la réponse aux incidents

• Découvrir DFIR-IRIS et son positionnement dans un environnement SOC, CSIRT et DFIR
• Comprendre l’architecture de la plateforme et les principaux composants d’une investigation
• Prendre en main l’interface, les dossiers, les utilisateurs, les groupes et les droits d’accès
• Créer et structurer un cas d’investigation à partir d’un incident de sécurité
• Organiser les tâches, responsabilités et informations nécessaires au travail collaboratif
• Comprendre les principes de traçabilité et de gestion des données d’investigation
• Atelier pratique : créer un dossier d’incident, organiser l’équipe d’investigation et structurer les premières actions de réponse.

[Jour 1 – Après-midi]

Centraliser les preuves, IOC et informations d’investigation

• Collecter et organiser les éléments de preuve associés à un incident
• Enregistrer et qualifier les indicateurs de compromission (IOC) : adresses IP, domaines, URL, fichiers et hashes
• Documenter les événements et construire une timeline d’investigation
• Relier les éléments techniques aux événements et informations du dossier
• Utiliser les notes, tâches et commentaires pour faciliter la collaboration entre analystes
• Structurer les données afin de conserver une investigation lisible, traçable et exploitable
• Atelier pratique : enrichir un incident à partir d’IOC, preuves et événements puis reconstruire les premières étapes d’une compromission.

[Jour 2 – Matin]

Conduire et enrichir une investigation avec DFIR-IRIS

• Construire une méthodologie d’investigation collaborative depuis la qualification jusqu’à la remédiation
• Exploiter les informations du dossier pour identifier les systèmes, utilisateurs et actifs concernés
• Enrichir les indicateurs avec des sources et outils de Threat Intelligence
• Comprendre les possibilités d’intégration avec MISP et les services d’enrichissement externes
• Organiser les informations nécessaires à l’analyse de la chaîne d’attaque
• Suivre les actions de confinement, d’éradication et de remédiation dans le dossier
• Atelier pratique : conduire une investigation à partir d’une alerte, enrichir les IOC et déterminer le périmètre de compromission.

[Jour 2 – Après-midi]

Intégrer, automatiser et restituer les investigations

• Comprendre les possibilités d’intégration de DFIR-IRIS avec les outils SOC, SIEM, EDR et Threat Intelligence
• Exploiter l’API et les mécanismes d’automatisation pour enrichir les dossiers et réduire les tâches répétitives
• Standardiser les procédures, modèles et informations nécessaires au traitement des incidents
• Construire des rapports permettant de restituer les éléments techniques et les actions réalisées
• Clôturer un incident en conservant les preuves, décisions et enseignements nécessaires au retour d’expérience
• Appliquer les bonnes pratiques de gouvernance, sécurité et contrôle des accès à la plateforme
• Atelier pratique : traiter un incident complet, de son ouverture à son enrichissement, sa remédiation et la production du rapport final.