Plan du cours
Introduction et orientation du cours
- Objectifs du cours, résultats attendus et configuration de l'environnement de laboratoire
- Architecture EDR de haut niveau et composants OpenEDR
- Révision du cadre de référence MITRE ATT&CK et des fondamentaux de la recherche de menaces
Déploiement d'OpenEDR et collecte de télémétrie
- Installation et configuration des agents OpenEDR sur les postes de travail Windows
- Composants serveur, pipelines d'ingestion de données et considérations de stockage
- Configuration des sources de télémétrie, normalisation des événements et enrichissement
Compréhension de la télémétrie des postes de travail et modélisation des événements
- Types d'événements clés des postes de travail, champs et leur mappage sur les techniques ATT&CK
- Filtrage des événements, stratégies de corrélation et techniques de réduction du bruit
- Création de signaux de détection fiables à partir de télémétrie de faible fidélité
Cartographie des détections sur MITRE ATT&CK
- Traduction de la télémétrie en couverture des techniques ATT&CK et lacunes de détection
- Utilisation de l'outil de navigation ATT&CK et documentation des décisions de cartographie
- Priorisation des techniques de chasse en fonction du risque et de la disponibilité de la télémétrie
Méthodologies de recherche de menaces
- Chasse basée sur les hypothèses vs enquêtes dirigées par des indicateurs
- Développement de jeux de rôle de chasse et flux de travail de découverte itérative
- Laboratoires pratiques de chasse : identification des mouvements latéraux, de la persistance et des schémas d'élévation de privilèges
Ingénierie de la détection et ajustement
- Conception de règles de détection utilisant la corrélation d'événements et les bases de comportement
- Test des règles, ajustement pour réduire les faux positifs et mesure de l'efficacité
- Création de signatures et de contenu analytique pour une réutilisation à travers l'environnement
Réponse aux incidents et analyse des causes racines avec OpenEDR
- Utilisation d'OpenEDR pour le tri des alertes, l'enquête sur les incidents et la chronologie des attaques
- Collecte d'artefacts forensiques, conservation des preuves et considérations de chaîne de traçabilité
- Intégration des résultats dans les jeux de rôle IR et les flux de travail de remédiation
Automatisation, orchestration et intégration
- Automatisation des chasses de routine et enrichissement des alertes à l'aide de scripts et de connecteurs
- Intégration d'OpenEDR avec les plateformes SIEM, SOAR et de renseignement sur les menaces
- Mise à l'échelle de la télémétrie, de la rétention et des considérations opérationnelles pour les déploiements d'entreprise
Cas d'utilisation avancés et collaboration avec l'équipe rouge
- Simulation du comportement des adversaires pour la validation : exercices d'équipe violette et émulation basée sur ATT&CK
- Études de cas : chasses en monde réel et analyses post-incident
- Conception de cycles d'amélioration continue pour la couverture de détection
Laboratoire final et présentations
- Laboratoire final guidé : chasse complète de l'hypothèse à la confinement et à l'analyse des causes racines en utilisant des scénarios de laboratoire
- Présentations des participants sur les résultats et les mesures d'atténuation recommandées
- Conclusion du cours, distribution du matériel et prochaines étapes recommandées
Pré requis
- Une compréhension des fondamentaux de la sécurité des postes de travail
- De l'expérience avec l'analyse de journaux et l'administration de base de Linux/Windows
- Une familiarité avec les techniques d'attaque courantes et les concepts de réponse aux incidents
Public cible
- Analystes du centre des opérations de sécurité (SOC)
- Chasseurs de menaces et intervenants en cas d'incident
- Ingénieurs de sécurité responsables de l'ingénierie de la détection et de la télémétrie
Nos clients témoignent (2)
Clarté et rythme des explications
Federica Galeazzi - Aethra Telecomunications SRL
Formation - AI-Powered Cybersecurity: Advanced Threat Detection & Response
Traduction automatique
Cela m'a donné l'insight dont j'avais besoin :) Je commence à enseigner dans le cadre d'une qualification BTEC de niveau 3 et souhaitais élargir mes connaissances dans ce domaine.
Otilia Pasareti - Merthyr College
Formation - Fundamentals of Corporate Cyber Warfare
Traduction automatique
