Autre

Parcours de formation - Responsable SOC

20 jour(s) • 140h

Description

Objectif de la formation : Former des responsables SOC de niveau expert capables de superviser, optimiser et faire évoluer un SOC au sein d’une organisation comme EDF. Les participants seront formés sur tous les aspects stratégiques, techniques et opérationnels du SOC, et deviendront des experts de niveau groupe, maîtrisant la gestion des incidents complexes, l’analyse des menaces avancées, la gestion d’équipe et l’intégration des technologies de cybersécurité. Les participants suivront un cas fil rouge qui consistera à concevoir et optimiser un SOC fictif à grande échelle, en intégrant tous les aspects vus au fil des modules. Les participants auront à travailler sur une architecture de sécurité globale, à détecter et répondre à des incidents, à gérer une équipe SOC et à mettre en place des solutions d’automatisation et d’amélioration continue. Etapes du projet fil rouge : Jour 1 à 5 : Conception du SOC et mise en place de la gouvernance initiale. Jour 6 à 10 : Sécurisation de l’architecture et gestion des menaces. Jour 11 à 15 : Gestion des incidents en conditions réelles, automatisation des réponses et mise en place de processus de surveillance continue. Jour 16 à 20 : Optimisation du SOC, gestion des équipes, tests de cyber-résilience et finalisation du rapport. Les participants devront produire un rapport final détaillant les solutions mises en place, les résultats des simulations, et les recommandations pour l'amélioration continue du SOC.

Objectifs pédagogiques

Maîtriser la gestion et la gouvernance d’un SOC au niveau stratégique et opérationnel.
Optimiser les processus SOC avec l’intégration des outils et des technologies de cybersécurité.
Piloter la détection et la réponse aux incidents en utilisant des outils de sécurité avancés.
Former et manager une équipe SOC, en assurant la gestion des talents et des processus internes.
Concevoir et implémenter des stratégies de cybersécurité dans un environnement SOC de grande échelle.

Public concerné

Responsables SOC, chefs de centre opérationnel de sécurité, ou toute personne responsable de la gestion de la sécurité des systèmes d’information dans de grandes entreprises.

Analystes sécurité expérimentés qui souhaitent évoluer vers des fonctions de gestion d’équipe et de supervision de SOC.

Experts en cybersécurité voulant se spécialiser dans la gestion et l’optimisation des opérations de sécurité dans un SOC.

Managers IT ou architectes de sécurité cherchant à intégrer une dimension opérationnelle dans la gestion de la sécurité.

Prérequis

5 ans d’expérience minimum dans un environnement de sécurité informatique (SOC, IT, cybersécurité).

Connaissances approfondies des outils de détection et de gestion des incidents de sécurité (SIEM, IDS/IPS, etc.).

Expérience avec les protocoles réseau, les technologies de sécurité (Firewall, VPN, WAF), et les outils de gestion des événements de sécurité.

Connaissance des méthodologies de réponse aux incidents et de gestion de crise.

Déroulé du programme

Rôle et mission d’un SOC (3h30)

Les objectifs et missions d’un SOC dans une organisation de grande envergure.
Types de SOC : SOC interne, SOC externalisé, et SOC hybride.
Gouvernance et modèles de responsabilité au sein d’un SOC.
Réglementations et normes (ISO 27001, NIST) et leur impact sur le fonctionnement d’un SOC.
Travaux pratiques : Projet fil rouge : Analyse de l’architecture initiale du SOC fictif, identification des missions du SOC et proposition d’un modèle de gouvernance pour le projet.

Gestion des incidents dans un SOC (3h30)

Processus de gestion des incidents : identification, gestion, résolution, et clôture.
Mise en place de procédures de gestion des crises dans le SOC.
Définition et gestion des KPIs et SLAs pour mesurer l’efficacité du SOC.
Travaux pratiques : Projet fil rouge : Élaboration du plan de gestion des incidents pour un scénario d'attaque ransomware sur l'architecture du SOC fictif, avec identification des parties prenantes et des responsabilités dans le cadre d’un incident majeur simulé.

Outils de détection des menaces : SIEM et IDS/IPS (3h30)

Présentation des outils SIEM (Splunk, Elastic, QRadar) pour la collecte et l’analyse des événements de sécurité.
Utilisation des outils IDS/IPS pour la détection d’intrusions dans le réseau.
Comparaison des outils : avantages et inconvénients des différentes solutions disponibles.
Mise en place d’alertes automatisées pour la détection en temps réel.
Travaux pratiques : Projet fil rouge : Implémentation d’un SIEM dans l’architecture du SOC fictif, configuration des alertes de sécurité pour détecter une attaque simulée. Analyse des logs pour identifier les menaces potentielles.

Gestion des alertes et corrélation des événements (3h30)

Processus de gestion des alertes et réduction des faux positifs.
Corrélation des événements dans un SIEM pour améliorer la détection des menaces avancées.
Règles de corrélation pour la détection de scénarios complexes comme les attaques par APT.
Travaux pratiques : Projet fil rouge : Configuration des règles de corrélation dans le SIEM du SOC fictif pour identifier une attaque par phishing et tester l’efficacité des alertes dans un environnement simulé.

Stratégies de réponse aux incidents (3h30)

Développement d’un plan de réponse aux incidents : identifier, répondre, enquêter, et remédier.
Rôles et responsabilités dans la gestion des incidents (analystes, responsables SOC, parties externes).
La communication de crise et la gestion des relations avec les parties prenantes.
Gestion des priorités : comment identifier les incidents critiques et y répondre rapidement.
Travaux pratiques : Projet fil rouge : Création du plan de gestion des incidents pour un scénario d'attaque ransomware sur l'architecture du SOC fictif, gestion des priorités et des tâches urgentes dans la réponse à l’incident simulé.

Techniques avancées de Forensic et Investigation (3h30)

Introduction aux techniques Forensic pour l’analyse des incidents.
Rétro-ingénierie des malwares et identification des artefacts laissés par les attaquants.
Analyse de la piste numérique : collecte des logs, artefacts et preuves d’une attaque.
Travaux pratiques : Projet fil rouge : Mise en place d’une analyse Forensic sur l’incident simulé dans le SOC, collecte des artefacts numériques et préparation d’un rapport détaillant l’attaque.

Automatisation des réponses SOC avec SOAR (3h30)

Introduction à SOAR (Security Orchestration, Automation and Response) et son rôle dans l’optimisation des processus SOC.
Création de workflows automatisés pour améliorer la réactivité face aux incidents.
Automatisation des tâches récurrentes et gestion des incidents via des solutions SOAR.
Travaux pratiques : Projet fil rouge : Implémentation d’un workflow SOAR dans le SOC fictif pour automatiser la réponse à un incident simulé.

Formation et gestion des équipes SOC (3h30)

Structure et gestion des équipes SOC : recrutement, formation continue, gestion des compétences.
Leadership et gestion des talents : compétences clés pour un responsable SOC.
Mise en place d’un plan de développement des talents et suivi des performances.
Travaux pratiques : Projet fil rouge : Élaboration d'un plan de formation pour l’équipe SOC et mise en place de sessions de simulation de gestion d’incidents pour former les analystes dans le cadre du SOC fictif.

Simulation d'attaques complexes et APT (3h30)

Les APT (Advanced Persistent Threats) : compréhension des menaces persistantes avancées.
Comportement des APT : phases d'attaque et outils utilisés par les attaquants.
Techniques de détection précoce des APT et mise en place de règles de détection avancées.
Intégration des indicateurs de compromission (IoC) et de comportement (IoA).
Travaux pratiques : Projet fil rouge : Simulation d’une attaque APT sur l'architecture SOC simulée et mise en place de règles dans le SIEM pour détecter cette attaque. Analyse des résultats et ajustement des alertes en fonction des IoC et IoA détectés.

Gestion des menaces persistantes avancées (3h30)

L'approche de gestion des menaces APT et leur impact sur la résilience du SOC.
Outils et processus de détection et de réponse aux menaces persistantes.
Gestion des faux négatifs et des faux positifs dans les alertes.
Mise en place d’un processus de remédiation pour contrer ces menaces.
Travaux pratiques : Projet fil rouge : Déploiement d’un processus de remédiation sur l’attaque APT simulée. Élaboration d’un rapport de réponse aux incidents et mise en place de solutions pour atténuer l’impact de l’attaque sur le réseau.

Tests d’intrusion avancés (3h30)

Introduction au test d’intrusion (pentest) : méthodologies, outils, et objectifs.
Scénarios de tests d’intrusion : boîtes noires, grises et blanches.
Utilisation d’outils comme Metasploit, Nmap, Burp Suite pour simuler des intrusions.
Techniques d’escalade de privilèges et de pivotement dans un réseau.
Travaux pratiques : Projet fil rouge : Réalisation d’un test d’intrusion complet sur l’infrastructure du SOC fictif. Identification des failles de sécurité dans l’architecture et développement d’un rapport détaillé sur les vulnérabilités découvertes.

Red-teaming et simulation d’attaque complexe (3h30)

Introduction au red-teaming : objectifs, méthodologies et importance dans un SOC.
Simulation de cyberattaques sophistiquées sur des infrastructures critiques.
Techniques d’élusion des défenses, manipulation des outils et des processus de détection.
Travaux pratiques : Projet fil rouge : Simulation d’une attaque red-team sur l’architecture SOC. Les participants jouent le rôle des attaquants et les analystes du SOC doivent réagir et détecter l’attaque en temps réel. Rédaction d’un rapport de simulation sur l'attaque et les mesures de défense utilisées.

Gestion de crise dans un SOC (3h30)

La gestion des incidents de grande ampleur et les planifications de réponse en situation de crise.
Coordination interne et externe : travailler avec des partenaires externes, autorités et fournisseurs pour contenir une attaque.
Évaluation en temps réel des impacts d’une cyberattaque et prise de décision stratégique.
Travaux pratiques : Projet fil rouge : Élaboration et mise en œuvre d’un plan de gestion de crise dans le cadre d’une attaque sur un réseau critique. Simulation d’une gestion d'incident de grande ampleur et gestion des priorités et de la communication.

Communication de crise et leadership (3h30)

Techniques de communication de crise pour les responsables SOC : interagir avec les équipes et les parties prenantes.
Leadership dans un SOC : gestion d'une équipe SOC sous pression.
Exercice sur la gestion d’une réponse de crise et maintien de la cohésion de l’équipe.
Travaux pratiques : Projet fil rouge : Simulation de communication de crise avec les différentes parties prenantes. Chaque participant devra gérer la communication de l'incident dans une situation simulée, avec des équipes internes et des parties externes (clients, fournisseurs, autorités).

Automatisation des réponses aux incidents (3h30)

Automatisation des processus de détection et réponse dans un SOC via les outils SOAR.
Création de workflows d’automatisation pour faciliter la gestion des alertes récurrentes.
Réduction des délais de réponse en automatisant les tâches et actions dans les outils SOC.
Travaux pratiques : Projet fil rouge : Mise en place de workflows SOAR pour automatiser la réponse à une attaque par phishing dans le SOC fictif. Déploiement et test de la réactivité du système dans un environnement simulé.

Gestion des alertes et traitement des faux positifs (3h30)

Gestion des alertes en continu et tri des faux positifs dans le SOC.
Mise à jour et ajustement des règles d'alertes pour minimiser les faux positifs.
Définition de stratégies de tuning des alertes et de leur corrélation pour une détection précise.
Travaux pratiques : Projet fil rouge : Révision et optimisation des règles d’alertes dans le SIEM pour le SOC fictif. Test des alertes ajustées en réponse à une nouvelle menace simulée.

Sécurisation des infrastructures et des endpoints (3h30)

Approches de sécurisation des infrastructures critiques : serveurs, bases de données et réseaux.
Protection des endpoints et des équipements mobiles contre les attaques.
Techniques avancées de durcissement des systèmes pour prévenir les vulnérabilités.
Travaux pratiques : Projet fil rouge : Application de la sécurisation des endpoints et mise en place d’un plan de durcissement des serveurs dans l'architecture SOC fictive.

Défense réseau et segmentation (3h30)

Segmentation réseau pour isoler les zones critiques et minimiser l’exposition aux attaques.
Utilisation des firewalls et VPN pour protéger les communications internes et externes.
Mise en place de politiques de contrôle d'accès et surveillance des réseaux.
Travaux pratiques : Projet fil rouge : Mise en œuvre de la segmentation réseau dans l’architecture SOC fictive et déploiement des politiques de firewall pour sécuriser les accès externes et internes.

Sécurisation des applications et des infrastructures Cloud (3h30)

Sécurisation des applications : pratiques de développement sécurisé, OWASP Top 10, prévention des vulnérabilités courantes.
Chiffrement et sécurité des données en transit et au repos dans les applications.
Introduction à la sécurisation des API : authentification, contrôle des accès, et prévention des attaques.
Travaux pratiques : Projet fil rouge : Audit de sécurité des applications dans le SOC fictif, identification des vulnérabilités dans les API et mise en place de solutions de chiffrement des données sensibles.

Sécurisation des environnements Cloud (3h30)

Sécurisation des services Cloud : AWS, Azure, GCP, et gestion des politiques de sécurité adaptées à chaque environnement.
Intégration des contrôles IAM (Identity Access Management) dans les plateformes Cloud pour renforcer l’authentification.
Gestion des risques associés aux environnements hybrides et multi-cloud.
Travaux pratiques : Projet fil rouge : Configuration des contrôles IAM sur une plateforme Cloud dans le cadre du SOC fictif, et mise en place de politiques de sécurité Cloud pour protéger les données sensibles.

Analyse des vulnérabilités et tests de pénétration (3h30)

Méthodologies de tests de pénétration : boîte noire, boîte grise, boîte blanche.
Scanners de vulnérabilité : Nessus, OpenVAS, et analyse des résultats.
Intégration des tests de pénétration dans un cycle DevSecOps.
Travaux pratiques : Projet fil rouge : Réalisation d’un test de pénétration complet sur l'infrastructure du SOC fictif. Identification des vulnérabilités, rapport détaillant les failles de sécurité trouvées et proposition de mesures correctives.

Gestion des menaces persistantes avancées (3h30)

Gestion des APT (Advanced Persistent Threats) et techniques de menaces persistantes.
Mise en place de stratégies de détection et réponse pour ces menaces.
Récupération et analyse post-incident après une attaque persistante.
Travaux pratiques : Projet fil rouge : Élaboration et mise en œuvre de processus de détection et réponse aux APT dans le SOC fictif, gestion d’une attaque persistante et révision des protocoles de détection dans le SIEM.

Planification de la continuité d’activité (3h30)

PCA (Plan de Continuité d’Activité) et PRA (Plan de Reprise d'Activité) dans un environnement SOC.
L’importance de la gestion des sauvegardes et des restaurations après un incident majeur.
Évaluation des risques pour maintenir la continuité des services critiques.
Travaux pratiques : Projet fil rouge : Développement et mise en place d’un PCA/PRA dans le SOC fictif pour assurer la résilience des systèmes après une cyberattaque.

Test de reprise après sinistre (3h30)

Mise en œuvre d’un test complet de reprise après sinistre (disaster recovery test).
Tests de plan de communication pour garantir la coordination des équipes pendant une crise.
Évaluation de l'efficacité des solutions de sauvegarde et restauration rapide.
Travaux pratiques : Projet fil rouge : Réalisation d’un test de reprise après sinistre sur l'infrastructure du SOC fictif. Rédaction d’un rapport sur l’efficacité de la stratégie de récupération et des points d’amélioration.

Structuration et gestion des équipes SOC (3h30)

Rôles et responsabilités des membres d’une équipe SOC : analystes, gestionnaires de crise, et responsable SOC.
Mise en place de stratégies pour améliorer la communication au sein du SOC pendant une crise.
Gestion des compétences et talents au sein du SOC, formation continue et gestion des évolutions de carrière.
Travaux pratiques : Projet fil rouge : Élaboration d’une stratégie de gestion d’équipe pour le SOC fictif, identification des compétences manquantes et planification des formations internes.

Leadership en situation de crise (3h30)

Techniques de leadership en situation de crise : gestion du stress et des tensions, prise de décision rapide.
Motivation des équipes sous pression et gestion des conflits internes.
Débriefing post-crise : analyse des actions, identification des points forts et des axes d’amélioration.
Travaux pratiques : Projet fil rouge : Simulation d’une crise SOC dans un environnement simulé, chaque participant joue un rôle de gestionnaire et doit prendre des décisions stratégiques pour gérer l’attaque et réagir en temps réel.

Sécurisation des infrastructures industrielles (3h30)

Présentation des environnements industriels : SCADA, ICS, et les défis spécifiques de sécurité.
Mise en place de stratégies de sécurité spécifiques aux systèmes industriels.
Protection des réseaux OT (Operational Technology) : segmentation et surveillance.
Travaux pratiques : Projet fil rouge : Mise en place d’une stratégie de sécurité pour SCADA dans le SOC fictif, configuration de la segmentation réseau et des règles de contrôle d’accès.

Sécurisation des objets connectés (IoT) et IIoT (3h30)

Vulnérabilités des objets connectés : identification des risques pour les environnements industriels et domestiques.
Techniques de sécurisation des communications IoT et gestion des mises à jour de sécurité.
Déploiement de solutions de sécurité pour les systèmes IoT critiques dans un SOC.
Travaux pratiques : Projet fil rouge : Sécurisation d’un réseau IoT dans le SOC fictif, mise en place de mécanismes de chiffrement des communications et gestion des mises à jour logicielles pour des objets industriels.

Audit de sécurité et conformité (3h30)

Techniques d’audit de sécurité dans un SOC : objectifs, méthodologies, et outils d’évaluation.
Suivi des normes de sécurité (ISO 27001, SOC 2, RGPD) et leur application dans un SOC.
Réalisation d’un audit de conformité pour évaluer la robustesse du SOC.
Travaux pratiques : Projet fil rouge : Audit de sécurité du SOC : analyse des vulnérabilités et conformité par rapport aux standards de sécurité (ISO 27001, RGPD).

Tests de pénétration dans un environnement SOC (3h30)

Introduction aux tests d’intrusion pour évaluer les failles de sécurité d’un SOC.
Utilisation de techniques d’attaque éthique pour identifier les vulnérabilités dans les systèmes SOC.
Exploitation des vulnérabilités pour simuler une intrusion réelle.
Travaux pratiques : Projet fil rouge : Réalisation de tests de pénétration avancés sur l'architecture du SOC fictif, identification des vulnérabilités exploitées et présentation des actions correctives.

Stratégies avancées de réponse aux incidents (3h30)

Développement de stratégies avancées de gestion des incidents pour traiter des attaques complexes telles que les APT ou les ransomwares.
Mise en œuvre de réponse coordonnée dans un SOC pour les attaques de grande ampleur.
Plan de communication de crise : coordonner les actions entre les équipes SOC, les parties prenantes internes et externes.
Travaux pratiques : Projet fil rouge : Simulation d’une réponse à une cyberattaque complexe (par exemple une attaque par ransomware) sur l'architecture du SOC fictif. Gestion des priorités d'intervention et des communications internes et externes.

Le rôle du SOC face aux nouvelles menaces (3h30)

Identification des nouvelles menaces émergentes : IoT, attaques sur les infrastructures Cloud, menaces internes.
Intégration des nouvelles technologies de sécurité : IA, machine learning pour la détection des menaces.
Adaptation du SOC aux menaces de l’Internet des objets (IoT) et des systèmes industriels (ICS, SCADA).
Travaux pratiques : Projet fil rouge : Intégration de nouvelles technologies de sécurité dans le SOC fictif pour détecter et répondre à une menace IoT ou à une vulnérabilité Cloud. Simulation d'une attaque IoT et mise en place d’un contrôle de sécurité.

Test d’intrusion et évaluation des vulnérabilités avancées (3h30)

Approfondissement des tests de pénétration dans des environnements complexes : réseaux hybrides, environnement Cloud.
Exploitation de vulnérabilités avancées et de l’ingénierie sociale dans le cadre des tests de pénétration.
Identification des points faibles d'un SOC et exploitation des failles pour simuler un accès non autorisé.
Travaux pratiques : Projet fil rouge : Réalisation d'un test d’intrusion avancé sur l'architecture SOC fictive, identification des failles exploitées et amélioration de la sécurité avec des correctifs.

Simulation de red-teaming dans un environnement SOC (3h30)

Introduction au red-teaming et à l'utilisation de techniques d'attaque sophistiquées pour simuler des intrusions ciblées.
Création de scénarios d'attaque complexes pour tester la résilience du SOC face à des attaques réalistes.
Coordination entre les équipes blue-team et red-team dans le cadre d'un test de sécurité.
Travaux pratiques : Projet fil rouge : Simulation de red-teaming sur l'architecture SOC, avec des attaquants simulés qui testent la réponse du SOC fictif face à des attaques ciblées. Les participants analyseront les points faibles et ajusteront les défenses du SOC.

Automatisation des réponses avec SOAR et gestion des incidents (3h30)

Introduction à l’automatisation des processus dans le SOC via des outils SOAR (Security Orchestration, Automation and Response).
Automatisation des actions après détection d’alertes : qu'elles soient manuelles ou automatiques, leur impact sur la réactivité et la sécurité.
Gestion des alertes en masse : automatisation de la classification et de la réponse.
Travaux pratiques : Projet fil rouge : Mise en place d’un workflow SOAR dans l'architecture du SOC fictif pour automatiser la réponse à une attaque DDoS. Test du temps de réponse avant et après l’automatisation.

Optimisation de la gestion des logs et des alertes (3h30)

Optimisation des outils SIEM pour une gestion plus rapide des logs et des alertes dans des environnements à haute volumétrie de données.
Mise en place de règles d’alertes intelligentes basées sur l’analyse comportementale des utilisateurs et des machines (UEBA).
Sécurisation des logs : garantir leur intégrité et leur sécurité, notamment en cas de violation.
Travaux pratiques : Projet fil rouge : Optimisation des alertes dans le SIEM du SOC fictif, en implémentant des règles avancées d'analyse comportementale pour mieux détecter les anomalies.

Gestion de la continuité d'activité et cyber-résilience (3h30)

Développement des plans PCA/PRA (Plan de Continuité d’Activité et Plan de Reprise d’Activité) dans le cadre du SOC.
Tests de résilience : mise en place de tests réguliers pour s'assurer que les systèmes et les équipes peuvent réagir face à des cyberattaques majeures.
L'importance de la cyber-résilience dans un environnement de sécurité avancé : maintenir l'activité même pendant ou après une cyberattaque.
Travaux pratiques : Projet fil rouge : Développement et simulation de tests de reprise après sinistre sur l’architecture SOC fictive. Exécution des tests avec une attaque simulée pour tester la résilience du SOC et sa capacité à récupérer les services critiques.

Planification de la communication en cas de crise (3h30)

Gestion des crises de communication au sein d’un SOC pendant et après un incident de sécurité majeur.
Communication avec les parties prenantes externes : autorités, clients, fournisseurs, et médias.
Mise en place d’un plan de communication de crise pour maintenir la confiance des clients et des partenaires.
Travaux pratiques : Projet fil rouge : Mise en place et simulation d’un plan de communication de crise dans le SOC fictif. Préparation des messages pour les parties prenantes (internes et externes) pendant une cyberattaque majeure.

Finalisation du projet fil rouge (3h30)

Finalisation des configurations du SOC simulé : revue de l'architecture, des tests, des solutions mises en place, et des résultats obtenus.
Mise en forme du rapport final, avec une analyse des résultats des tests de pénétration, des incidents simulés et des actions de remédiation.
Réalisation de recommandations stratégiques pour améliorer la sécurité et l'efficacité du SOC à long terme.
Travaux pratiques : Projet fil rouge : Finalisation de la présentation du projet fil rouge, revue des processus de gestion des incidents, des tests effectués, et des recommandations stratégiques pour renforcer la sécurité du SOC.

Présentation finale du projet et évaluation (3h30)

Présentation du projet fil rouge devant un jury d'experts.
Discussion sur les points forts, les défis rencontrés et les solutions proposées pendant la simulation.
Retour d'expérience des formateurs et évaluation finale des compétences acquises pendant la formation.
Travaux pratiques : Projet fil rouge : Présentation du projet devant le jury d'experts et analyse des solutions mises en place, suivi d'une évaluation des compétences acquises.