A l'issue de cette formation, vous serez capable de :

• Collecter et normaliser les sources de logs (Windows, Linux, réseau)
• Mettre en place des règles de corrélation pour détecter automatiquement des comportements suspects
• Créer et tester des règles personnalisées adaptées aux risques métier
• Prioriser les incidents sur la base de scénarios de menace et de critères opérationnels
• Développer des tableaux de bord et des workflows d'alerte pour un SOC efficace.

Jour 1 - Matin

Présentation de l'architecture SIEM

• Collecte
• Parsing
• Normalisation

Configuration des agents de collecte

• Windows Event Collector
• Beats

Exemple de travaux pratiques (à titre indicatif)

• Ingestion de logs Windows et Linux dans la plateforme

Jour 1 - Après-midi

Introduction à la corrélation de logs

• Principes
• Types de corrélations (statique, temporelle, multi-sources)

Exemple de travaux pratiques (à titre indicatif)

• Mise en place d'une règle de corrélation simple (détection de bruteforce réseau)

Jour 2 - Matin

Création de règles personnalisées

• Syntaxe
• Variables
• Fonctions avancées (regex, agrégations)

Exemple de travaux pratiques (à titre indicatif)

• Rédaction et ajustement de 2 règles métier (accès administrateur tardif, exfiltration via protocole non standard)

Jour 2 - Après-midi

Tests et tuning des règles

• Simulation d'événements
• Optimisation des seuils
• Réduction des faux positifs

Exemple de travaux pratiques (à titre indicatif)

• Mise en place d'un environnement de test automatisé pour valider les règles à grande échelle

Jour 3 - Matin

Priorisation des incidents

• Scoring des alertes
• Mapping sur la Cyber Threat Intelligence

Workflow d'alerte et gestion d'incident

• Assignation
• SLA
• Escalade automatisée

Exemple de travaux pratiques (à titre indicatif)

• Création d'un playbook d'escalade via API ou Webhooks

Jour 3 - Après-midi

Tableaux de bord et reporting opérationnel

• KPIs clés (MTTD, MTTR, volume d'alertes)

Exemple de travaux pratiques (à titre indicatif)

• Détection et priorisation d'une série d'incidents simulés, de la corrélation à l'escalade