Approfondissez vos compétences en threat intelligence, réponse aux incidents, forensique et analyse de malware.
La Threat Intelligence (TI) est la collecte, l'analyse et la diffusion d'informations sur les menaces actuelles et émergentes.
Les IOC sont des données ; la threat intelligence, c'est des données collectées, analysées, contextualisées et diffusées avec une action recommandée. 10 000 IOC sans contexte ni consigne, c'est du bruit qui épuise le SOC. Si votre réponse exige le contexte et l'action recommandée, vous avez compris ce que l'examen attend.
Sources gratuites et payantes :
Plan → Collecte → Analyse → Production → Diffusion → Feedback. Un bon programme de TI est un cycle continu.
Non, pas sans vérification : un bloc large contient des millions d'adresses, dont forcément des légitimes — le blocage aveugle garantit des faux positifs et des pannes. La démarche : vérifier le périmètre exact, la fraîcheur et la corroboration, intégrer en surveillance d'abord, ne bloquer que du précis et du corroboré. Si vous avez exigé précision et corroboration avant blocage, réflexe validé.
Au-delà des IOCs basiques :
On monte d'un cran dans la pyramide : signature YARA sur la structure du binaire, puis détection comportementale des TTP (séquence macro, PowerShell, C2). Bloquer des hashs contre un attaquant qui recompile, c'est vider la mer à la cuillère. Si vous êtes passé du statique au comportemental, vous avez compris.
La matrice ATT&CK est l'outil fondamental du SOC Analyst :
Application pratique : Mapper les alertes SOC sur les techniques ATT&CK pour identifier les gaps de détection.
T1003, c'est le vol d'identifiants (type Mimikatz sur la mémoire LSASS). Critique car c'est le pivot : avec des mots de passe en main, l'attaquant escalade et se déplace latéralement. Détecter T1003 tôt casse la chaîne d'attaque. Si vous avez relié vol de credentials et propagation, votre mapping est correct.
Le framework NIST SP 800-61 pour la réponse aux incidents :
Le containment — isoler le serveur du réseau — après une qualification éclair. Pas trois heures d'analyse pendant que le chiffrement se propage, pas d'éradication avant isolation. Si vous avez isolé d'abord, votre réflexe NIST est bon.
Niveaux de sévérité des incidents :
Non : P3 voire P4 — tentative contenue, aucun impact confirmé. Le P1 exige un impact actif (chiffrement en cours, breach confirmé, compromission administrateur). Sur-classer mobilise des équipes pour rien et use leur confiance. Si vous avez exigé l'impact avant le P1, votre classification est juste.
Chaque playbook IR doit contenir :
L'escalade dans le vide en plein incident : temps perdu, mauvaises personnes prévenues, actions non conformes. Un playbook se teste (exercice tabletop) et se maintient (revue semestrielle, contacts à jour). Si votre réponse cite le test et la maintenance, elle est complète.
Scénario pratique : Réponse à une campagne de phishing ciblée
Les deux, mais dans l'ordre : d'abord contenir le cliqueur (risque actif et immédiat), puis balayer les 49 autres (recherche SIEM, suppression préventive des e-mails). Négliger les 49, c'est laisser 49 portes ouvertes. Si vous avez traité l'étendue et pas seulement le cas visible, vous avez le réflexe SOC.
La forensique numérique est l'analyse scientifique des artefacts numériques :
Ne jamais investiguer sur la copie de travail. Toujours préserver l'original et travailler sur une image bit-à-bit.
Pour prouver que la copie est strictement identique à l'original et qu'elle n'a pas été altérée ensuite : sans hash horodaté, la défense contestera la preuve et le tribunal pourra l'écarter. Si votre réponse cite l'intégrité et la recevabilité, elle est juste.
L'analyse de RAM avec Volatility Framework :
volatility -f memdump.raw imageinfo — Identifier l'OSvolatility -f memdump.raw pslist — Lister les processusvolatility -f memdump.raw netscan — Connexions réseauvolatility -f memdump.raw hivelist — Ruches registryvolatility -f memdump.raw malfind — Processus suspectsProcessus masqué par technique de décrochage de liste (type DKOM, marque des rootkits) : une dissimulation volontaire est un indicateur fort de compromission. On croise avec malfind et netscan avant de conclure. Si vous avez conclu « dissimulation égale suspicion », votre réflexe est bon.
Analyse des systèmes de fichiers :
Pas un voyage temporel : une incohérence d'horloge ou de fuseau horaire entre les sources (ou une mauvaise interprétation de l'image). On vérifie les timezones avant toute conclusion, sinon tout le récit de l'attaque est faux. Si vous avez suspecté l'horloge avant le miracle, bravo.
Analyse de trafic réseau avec Wireshark/Tshark :
Tunneling ou exfiltration DNS probable : des sous-domaines longs (données encodées) émis avec une régularité d'automate. On vérifie volumes et entropie, on croise avec proxy et EDR, on isole. Si vous avez lu « long plus régulier égale tunnel », votre diagnostic est juste.
Types de malware les plus rencontrés par un SOC :
Tout change : en double extorsion, restaurer les backups ne suffit plus car les données sont déjà chez l'attaquant. Il faut impliquer direction et juridique (obligation de notification de fuite), et intégrer l'exfiltration à l'investigation. Si vous avez ajouté le volet fuite au volet chiffrement, votre réponse est complète.
Analyse sans exécution du malware :
Aucune conclusion de propreté : packé et inconnu égale suspect, pas sain. On passe en analyse dynamique en sandbox et on surveille — et on revérifie le hash plus tard (un 0/70 aujourd'hui peut devenir 20/70 demain). Si vous avez refusé de blanchir, votre rigueur est bonne.
Analyse en exécutant le malware en environnement contrôlé :
Toujours analyser en VM isolée, sans carte réseau réelle, avec snapshots. Certains malwares détectent les VMs (VM evasion).
Évasion probable : détection de VM, temporisation, C2 injoignable depuis le lab, ou besoin d'une action utilisateur. On rejoue avec contre-mesures (délai, faux Internet, VM durcie) au lieu de conclure à l'innocence. Si vous avez suspecté l'évasion avant l'innocence, vous pensez en analyste.