Mise en place d’un SIEM

Ce cours est un guide pratique visant à présenter les technologies défensives autour de la terminologie SIEM et de la détection d’intrusion. Le contenu est indépendant de tout constructeur et vise à donner une vue globale et impartiale, sur les aspects fonctionnels et techniques. L’objectif est de fournir aux stagiaires les outils et les connaissances nécessaires pour aborder un marché où les solutions sont multiples, complexes et parfois difficiles à discerner.
Nous étudierons dans un premier temps la mise en place de sondes de détection d’intrusion autour des solutions Suricata et OSSEC. Les stagiaires apprendront notamment à écrire des règles de détection Snort et OSSEC.

Objectifs spécifiques :

• Comprendre les limites des outils de sécurité classiques
• Découvrir les principes technologiques derrière l’acronyme SIEM

• Maîtrise de l’administration Linux
• Bonnes connaissances réseau / système
• Notions de Scripting

• Code : MSIEM
• Durée : 4 jours
• Horaires : 8h30 - 17h30
• Lieu : Centre de formation, Centre Urbain Nord, Tunis

• Consultants en sécurité
• Ingénieurs / Techniciens
• Responsables techniques

• Support de cours
• 40% de démonstration
• 40% de théorie
• 20% d’exercices pratiques

• Jour 1
  • Rôle de la détection d’intrusion Terminologie
  • Faux positifs, détection, prévention, etc.
  • Architectecture et types d’IDS
  • Présentation de l’IDS Suricata
  • Langage d’écriture de règles TP
  • Mise en place d’une architecture IDS
  • Jeu d’attaque et création de règles de détection (scans, brutforce, exploitation de vulnérabilité)
• Jour 2
  • Présentation du HIDS OSSEC et architecture
  • Déploiement et configuration de base
  • Syntaxe d’écriture de règles TP
  • Ecriture de règles
  • Limites des IDS
  • Points importants dans le cadre d’un appel d’offre
• Jour 3
  • Défis modernes posés à la supervision classique
  • Objectifs d’un SIEM
  • Architecture et fonctionnalités
  • Syslog et centralisation des journaux
  • Synchronisation du temps (NTP)
  • Présentation d’ELK
  • Configuration avancée de Logstash
• Jour 4
  • TP
  • Configuration d’agents Logstash
  • Ecriture de Groks avancés
  • Environnement hétérogène: Linux, Windows
  • Virtualisation des résultats dans Kibana
  • Conclusion
  • Discussion sur les solutions alternatives
  • Préparation des points-clés pour un appel d’offre