Sécurité défensive - Détection et réponse aux incidents de sécurité - Niveau intermédiaire

5 jour(s) • 35h

Niveau Intermédiaire

3450 € HTHT

PRÉSENTATION

Renforcer les compétences des professionnels expérimentés en matière de détection, d’analyse et de réponse aux incidents de sécurité dans des contextes complexes (OIV, infrastructures critiques, SOC multi-niveaux). Les participants apprendront à piloter des investigations complexes, à orchestrer la réponse via des outils avancés (SIEM, EDR, SOAR) et à établir une coordination efficace entre équipes SOC, CERT et direction.

OBJECTIFS OPÉRATIONNELS

Piloter une réponse à incident complexe impliquant plusieurs sources et couches (IT, OT, Cloud).

Exploiter des frameworks d’analyse tactique (MITRE ATT&CK, Kill Chain, D3FEND) et corréler en temps réel.

Orchestrer l’analyse avec des outils avancés : SIEM, SOAR, EDR, forensic, sandboxing.

Coordonner les actions entre les acteurs (SOC, CERT, RSSI) et communiquer vers les instances de direction.

Élaborer un plan de remédiation post-incident avec enseignements durables (retour d’expérience, durcissement, KPIs).

PROGRAMME DÉTAILLÉ

Jour 1 – Détection avancée multi-couches (7h)

Revue des architectures SIEM, EDR, NDR, SOAR – positionnement stratégique
Typologie des alertes, corrélation d’événements multi-sources
Détection comportementale vs signature, Threat Intelligence enrichie
Cas pratique :

Analyse d’alertes SIEM et reconstruction d’un scénario d’attaque multi-étapes

Configuration d’un use-case de détection avancée (correlation rule, threat feed, etc.)

Jour 2 – Analyse tactique et investigation technique (7h)

Utilisation des frameworks MITRE ATT&CK, D3FEND, Kill Chain dans l’analyse
Investigation sur artefacts systèmes, traces réseau, journaux AD
Corrélation temps réel + post-mortem (rétro-hunting)
Cas pratique :

Mener une investigation complète à partir d’une alerte : de l’IOC à l’identification du vecteur d’attaque

Mapping ATT&CK + recommandation de contremesures préventives

Jour 3 – Réponse active et containment (7h)

Stratégies d’endiguement sur SI hybride (IT/OT, AD, Cloud)
Outils de réponse automatisée (SOAR, scripts PowerShell/Bash, orchestration d’actions EDR)
Communication de crise vers RSSI, DSI, utilisateurs
Cas pratique :

Déclencher une réponse automatisée (containment machine, blocage IP, etc.)

Simuler la coordination entre SOC et CERT dans une situation d’attaque ciblée

Jour 4 – Threat hunting & anticipation (7h)

Techniques de proactive hunting : hypothèse, pivot, IOC/TTP-oriented
Utilisation de Threat Intel dans la chasse (sources privées/publiques, enrichissement IOC)
Détection des signaux faibles et des mouvements latéraux non alertés
Cas pratique :

Élaborer une mission de hunting à partir d’un schéma MITRE

Identifier une compromission silencieuse via logs réseau et comportements utilisateurs

Jour 5 – REX, plan de durcissement et restitution (7h)

Structurer un retour d’expérience (technique + organisationnel)
Élaborer un plan de remédiation (correctif, préventif, KPIs associés)
Restitution vers instances RSSI et COMEX : synthèse, plan d’action, tableau de bord
Cas pratique :

Présenter le rapport post-incident : chronologie, faille exploitée, actions menées, axes de progrès

Élaborer un tableau de bord de suivi de la sécurité post-incident avec indicateurs de pilotage

CIBLES

Analystes SOC senior, responsables réponse à incident

Architectes sécurité / RSSI de site ou de direction

Experts sécurité en charge de la coordination opérationnelle

Référents sécurité en environnement critique ou multisite

PRÉREQUIS

•5 à 10 ans d’expérience minimum en sécurité opérationnelle ou SOC
•Maîtrise des architectures SIEM, EDR, IDS/IPS et concepts d’investigation numérique
•Bonne connaissance du cycle de vie des menaces (tactiques, TTPs) et de l’analyse réseau
•Notions de coordination de crise et reporting SSI

PROCHAINES SESSIONS

14 sept.-18 sept. 2026

Non spécifié•Distanciel

3450€