Formation : Gestion de crise, Workshop Politique de Journalisation
Référence : CERT-WPJ
Durée : 1 journée
Public : RSSI, administrateurs systèmes, analystes SOC
Prérequis : Connaissances de base en administration SI et sécurité.
Introduction :
Une politique de journalisation efficace constitue la base d’une supervision de sécurité performante et accélère les investigations en cas d’incident. Ce workshop s’appuie sur l’expérience terrain du CERT Intrinsec pour identifier les lacunes courantes révélées par les incidents traités, comme les défauts de détection précoce d’attaques (exfiltration, chiffrement de données). Les participants apprendront à configurer des journaux adaptés aux techniques d’attaquants (MITRE ATT&CK), couvrant proxy, firewall, EDR, Sysmon et Active Directory.
Objectifs Pédagogiques
- Comprendre l’impact d’une journalisation inadéquate sur la détection et réponse aux incidents.
- Identifier les journaux critiques par scénario d’attaque (drive-by, phishing, exploitation publique).
- Mettre en œuvre des recommandations pratiques : tailles minimales (1-2 Go postes/serveurs), Event IDs clés (4688, 4104, Sysmon 1) et activation PowerShell/Sysmon
- Évaluer et prioriser les sources de logs (SIEM, DNS, authentifications Event ID 4624/4625).
Programme Détaillé
- Petit-déjeuner & tour de table (30min)
- Contexte et Retours d’Expérience (1h30min) : Analyse d’incidents CERT montrant les échecs de journalisation.
- Pause: (15min)
- Recommandations Pratiques (30min) : Configuration minimale, points d’attention (quantités, mécanismes par défaut), ateliers hands-on.
- Pause déjeuner (1h)
- PART 1 Scénarios d’Attaques et Logs Clés (1h30) : Drive-by compromise (proxy/firewall/Sysmon), exploit public (WAF/EDR), phishing (PowerShell 4104), persistence/découverte (4688)
- Pause (15min)
- PART 2 Scénarios d’Attaques et Logs Clés (1h30) : Drive-by compromise (proxy/firewall/Sysmon), exploit public (WAF/EDR), phishing (PowerShell 4104), persistence/découverte (4688)
- Conclusion et Q&R (30min) : Plan d’action personnalisé, intégration SIEM.
Nombre de personnes max : 6 à 8 personnes max
Offre soumise à condition : nombre minimal de 4 participants atteint
