Plan du cours
Introduction et orientation du cours
- Objectifs du cours, résultats attendus et configuration de l'environnement de laboratoire
- Architecture EDR de haut niveau et composants d'OpenEDR
- Révision du cadre MITRE ATT&CK et des fondamentaux de la chasse aux menaces
Déploiement d'OpenEDR et collecte de télémétrie
- Installation et configuration des agents OpenEDR sur les points de terminaison Windows
- Composants serveur, pipelines d'ingestion de données et considérations relatives au stockage
- Configuration des sources de télémétrie, normalisation des événements et enrichissement
Compréhension de la télémétrie des points de terminaison et modélisation des événements
- Types d'événements clés des points de terminaison, champs et leur mappage aux techniques ATT&CK
- Stratégies de filtrage des événements, de corrélation et de réduction du bruit
- Création de signaux de détection fiables à partir d'une télémétrie de faible fidélité
Mapping des détections à MITRE ATT&CK
- Traduction de la télémétrie en couverture des techniques ATT&CK et en lacunes de détection
- Utilisation de MITRE ATT&CK Navigator et documentation des décisions de mappage
- Hiérarchisation des techniques de chasse en fonction du risque et de la disponibilité de la télémétrie
Méthodologies de chasse aux menaces
- Chasse guidée par hypothèse vs enquêtes dirigées par indicateurs
- Développement de playbooks de chasse et flux de travail de découverte itérative
- Labs de chasse pratiques : identification des mouvements latéraux, de la persistance et des schémas d'élévation de privilèges
Ingénierie de la détection et ajustement
- Conception de règles de détection à l'aide de la corrélation des événements et des bases de référence comportementales
- Test des règles, ajustement pour réduire les faux positifs et mesure de l'efficacité
- Création de signatures et de contenu analytique réutilisable dans tout l'environnement
Réponse aux incidents et analyse de la cause première avec OpenEDR
- Utilisation d'OpenEDR pour le triage des alertes, l'enquête sur les incidents et la chronologie des attaques
- Collecte d'artefacts forensiques, préservation des preuves et considérations relatives à la chaîne de traçabilité
- Intégration des résultats dans les playbooks de RI et les flux de travail de remédiation
Automatisation, orchestration et intégration
- Automatisation des chasses courantes et de l'enrichissement des alertes à l'aide de scripts et de connecteurs
- Intégration d'OpenEDR avec les plateformes SIEM, SOAR et de renseignement sur les menaces
- Mise à l'échelle de la télémétrie, de la rétention et des considérations opérationnelles pour les déploiements d'entreprise
Cas d'utilisation avancés et collaboration avec l'équipe rouge
- Simulation du comportement des adversaires pour la validation : exercices d'équipe violette et émulation basée sur ATT&CK
- Études de cas : chasses en monde réel et analyses post-incidents
- Conception de cycles d'amélioration continue pour la couverture de détection
Laboratoire final et présentations
- Atelier de synthèse guidé : chasse complète, de l'hypothèse à la containment et à l'analyse de la cause première, à l'aide de scénarios de laboratoire
- Présentations des participants sur les résultats et les mesures d'atténuation recommandées
- Clôture du cours, distribution du matériel et prochaines étapes recommandées
Pré requis
- Une compréhension des fondamentaux de la sécurité des points de terminaison
- Une expérience avec l'analyse des journaux et l'administration de base de Linux/Windows
- Une familiarité avec les techniques d'attaque courantes et les concepts de réponse aux incidents
Public cible
- Analystes du centre d'opérations de sécurité (SOC)
- Chasseurs de menaces et intervenants en matière d'incidents
- Ingénieurs de sécurité responsables de l'ingénierie de la détection et de la télémétrie
Nos clients témoignent (2)
Clarté et rythme des explications
Federica Galeazzi - Aethra Telecomunications SRL
Formation - AI-Powered Cybersecurity: Advanced Threat Detection & Response
Traduction automatique
Cela m'a donné l'insight dont j'avais besoin :) Je commence à enseigner dans le cadre d'une qualification BTEC de niveau 3 et souhaitais élargir mes connaissances dans ce domaine.
Otilia Pasareti - Merthyr College
Formation - Fundamentals of Corporate Cyber Warfare
Traduction automatique
