Formation SIEM - Exploitation avancée des journaux de sécurité et détection des menaces
Description
Objectif de formation : Apprendre à concevoir, exploiter et optimiser une solution SIEM pour détecter les menaces, corréler les événements à grande échelle, construire des tableaux de bord utiles, créer des alertes pertinentes et identifier les comportements anormaux sur les réseaux, systèmes et environnements cloud.
- Concevoir une architecture SIEM cohérente et scalable
- Choisir, collecter et normaliser les bons journaux
- Transformer des logs bruts en informations exploitables
- Définir des règles d’alerte pertinentes et des dashboards efficaces
- Détecter des anomalies à partir de baselines comportementales
- Intégrer des journaux cloud, conteneurs, et automatiser certaines tâches
- Évaluer l’efficacité des contrôles de sécurité à travers les logs
- Analystes SOC, ingénieurs sécurité, administrateurs SI
- Consultants cybersécurité, auditeurs techniques
- Responsables de la supervision ou de la détection
- Bonnes connaissances des systèmes (Windows, Linux), réseaux, et sécurité
- Aisance avec les formats de logs et le traitement de données structurées
- Notions de scripting ou de manipulation de données appréciées
- 1
Introduction aux SIEM et à l’architecture de journalisation (3 heures)
- Rôle et place du SIEM dans l’écosystème de sécurité
- Architecture d’un SIEM : collecte, agrégation, normalisation, corrélation, visualisation
- Présentation de solutions SIEM populaires (Splunk, ELK, Sentinel, QRadar…)
- Bonnes pratiques de conception d’une architecture de logs
- Travaux pratiques : Déploiement simplifié d’un SIEM open source (ex : ELK) ou démonstration guidée
- Travaux pratiques : Identification des composants SIEM à partir d’un schéma de flux
- Travaux pratiques : Analyse de logs bruts avant ingestion dans le SIEM
- 2
Collecte de journaux : quoi, quand, comment ? (5 heures)
- Quelles sources collecter ? (Windows, Linux, pare-feu, EDR, cloud, AD, DNS…)
- Méthodes de collecte : agents, syslog, API, agentless
- Format des logs : JSON, Syslog, CSV, CEF, LEEF
- Stratégies de priorisation et de scalabilité pour la collecte massive
- Travaux pratiques : Configuration de collecte de logs système et réseau sur VM simulée
- Travaux pratiques : ingestion de différents types de journaux dans le SIEM
- Travaux pratiques : Diagnostic d’une architecture de collecte (manque de sources, volume, duplication)
- 3
Transformation des logs en données exploitables (5 heures)
- Parsing, normalisation, enrichissement (géolocalisation, WHOIS, CTI)
- Création de champs personnalisés
- Gestion des logs bruités, nettoyage, suppression des faux positifs
- Techniques de manipulation avancée (regex, expressions conditionnelles, eval…)
- Travaux pratiques - Atelier de parsing : transformation de logs bruts en événements normalisés
- Travaux pratiques : enrichissement d’un flux avec IP reputation + géolocalisation
- Travaux pratiques : détection de valeur anormale dans un log HTTP
- 4
Détection des menaces et création d’alertes efficaces (6 heures)
- Création d’alertes fondées sur des modèles d’attaque (MITRE ATT&CK)
- Analyse fréquentielle et détection comportementale
- Corrélation multi-sources (ex : login + action + périphérique)
- Réduction du bruit et gestion des faux positifs
- Travaux pratiques : création de règles d’alerte basées sur un scénario de phishing ou C2
- Travaux pratiques : mise en place de seuils dynamiques pour détection d’anomalies (logins multiples)
- Travaux pratiques : Analyse d’un jeu de données pour isoler un comportement suspect
- 5
Dashboards et visualisation tactique pour analystes (4 heures)
- Règles de conception d’un dashboard utile : lisibilité, tri, actions
- Tableaux, graphes, heatmaps, vues chronologiques
- Cas d’usage : activité utilisateur, détection de lateral movement, attaque AD
- Travaux pratiques : Création d’un dashboard analyste (SIEM ou Kibana) sur 3 indicateurs
- Travaux pratiques : Mise en place de graphiques temporels pour détecter des pics d’activité anormaux
- Travaux pratiques : transformation de données JSON en vues synthétiques
- 6
Création de baselines et détection d’anomalies (5 heures)
- Définir des comportements "normaux" (utilisateurs, appareils, processus)
- Baselines réseau (trafic, horaires), Windows (services, connexions, logs)
- Détection de dérives et de changements suspects
- Surveillance des systèmes cloud et des conteneurs
- Travaux pratiques : Définition d’une baseline de connexions sur un hôte fictif
- Travaux pratiques : Identification d’un processus nouveau dans des logs système
- Travaux pratiques : Détection d’un changement non autorisé dans un environnement cloud simulé
- 7
Intégration et automatisation (scripts, cloud, conteneurs) (4 heures)
- Journalisation et supervision des conteneurs (Docker, Kubernetes)
- Intégration cloud (Azure Monitor, AWS CloudWatch, GCP Logging)
- Écriture de scripts de collecte ou de traitement (Python, Bash, API REST)
- Introduction au SOAR : enrichissement automatique, réponse automatisée
- Travaux pratiques : Collecte de logs d’un conteneur en local et envoi vers SIEM
- Travaux pratiques - Script Python : extraction d’alertes, enrichissement avec CTI open source
- Travaux pratiques : script de détection automatique d’activité suspecte et génération d’alerte
- 8
Évaluation finale et cas d’usage complet (3 heures)
- Travaux pratiques - Projet fil rouge : détection et analyse d’un incident simulé, collecte des données, enrichissement et parsing, création d’alertes et visualisations, rapport de détection et remédiation, présentation orale synthétique avec justification des choix
Ils nous font Confiance
Nos partenaires de confiance
Questions fréquentes
FAQ : Formation SIEM - Exploitation avancée des journaux de sécurité et détection des menaces
Oui, mais la prise en charge d'une formation professionnelle par un OPCO dépend de votre opérateur de compétences, de votre branche d'activité et des critères de financement applicables. Ascent Formation vous accompagne dans l'identification des possibilités de financement adaptées à votre entreprise.
Une formation inter-entreprises réunit des participants issus de différentes organisations, tandis qu'une formation intra-entreprise est organisée pour les collaborateurs d'une même entreprise. Le format intra permet notamment d'adapter le contenu et les modalités aux besoins spécifiques de vos équipes.
Selon la formation proposée, il est possible de suivre une formation professionnelle à distance, en présentiel ou selon d'autres modalités disponibles. Consultez les informations de la session concernée ou contactez-nous pour connaître les formats possibles.
Oui, une formation professionnelle peut être adaptée aux objectifs, au niveau des participants et aux besoins opérationnels de votre entreprise. Ascent Formation vous propose des parcours personnalisés pour accompagner le développement des compétences de vos équipes.
Formations similaires
CybersécuritéFormation Administration et sécurité des appareils et applications mobiles - ANDROID et IOS (3-017)
CybersécuritéFormation Analyse de Malware - Fondamentaux
CybersécuritéFormation Analyse de Malware - Techniques avancées
Cybersécurité