🔴 Niveau Expert — Opérations Avancées

30+ leçons sur KQL avancé, automatisation, workbooks, threat hunting et attaques persistantes avancées (APT).

Module 1 : KQL Avancé

1.1 Fonctions personnalisées

KQL permet de créer des fonctions réutilisables pour simplifier les requêtes complexes.

// Créer une fonction pour les connexions échouées
.create-or-alter function
    with (docstring = "Filtre les connexions échouées Azure AD")
    FailedSignins(hours:int) {
        SigninLogs
        | where TimeGenerated > ago(hours)
        | where ResultType != 0
    }

// Utilisation de la fonction
FailedSignins(24)
| summarize count() by UserPrincipalName, ResultDescription
| order by count_ desc

1.2 Opérateurs avancés

• make-series — Création de séries temporelles pour la visualisation
• serialize — Ajoute un index de ligne pour les fonctions de fenêtrage
• row_window() — Fonctions de fenêtrage sur les lignes adjacentes
• partition — Partitionnement des données par clé
• parse / parse_where — Extraction de patterns avec des expressions régulières
• mv-expand — Expansion de tableaux multi-valués en lignes individuelles
• mv-apply — Application d'opérations sur des tableaux multi-valués
• bag_keys — Extraction des clés d'un objet JSON dynamique
• externaldata — Chargement de données depuis des sources externes (CSV, APIs)

// make-series : Tendance des connexions échouées par jour
SigninLogs
| where TimeGenerated > ago(30d)
| where ResultType != 0
| make-series FailedCount = count() default=0 on TimeGenerated from ago(30d) to now() step 1d by UserPrincipalName
| render timechart

// mv-expand + parse : Analyser les membres de groupe
AuditLogs
| where OperationName == "Add member to group"
| extend Members = TargetResources
| mv-expand Members
| extend MemberName = tostring(Members.displayName)
| project TimeGenerated, GroupName = TargetResources[0].displayName, MemberName, InitiatedBy = InitiatedBy.user.userPrincipalName

1.3 Windowing Functions

// Détection d'anomalies basées sur la tendance
SecurityEvent
| where TimeGenerated > ago(30d)
| where EventID == 4625
| serialize
| extend RowNumber = row_number()
| extend MovingAvg = row_window_mean(FailedCount, 7, 0)
| where FailedCount > MovingAvg * 3  // Plus de 3x la moyenne
| project TimeGenerated, Computer, FailedCount, MovingAvg

Module 2 : Règles d'Automation et Playbooks

2.1 Règles d'automation Sentinel

Les règles d'automation déclenchent automatiquement des actions lorsque des alertes ou incidents sont créés.

• Automation Rules — Déclenchées par des conditions (sévérité, tactic, produit)
• Actions disponibles — Assignation, changement de statut, ajout de commentaires, exécution de playbook
• Ordre d'exécution — Les règles s'exécutent dans l'ordre de priorité (1 = première)

2.2 Playbooks Logic App

Un playbook est une Azure Logic App qui s'exécute en réponse à un déclencheur Sentinel :

• Déclencheur — Incident ou alerte créé dans Sentinel
• Connecteurs — Microsoft Teams, ServiceNow, Jira, Azure AD, etc.
• Actions — Envoyer une notification, isoler un poste, bloquer un IP, créer un ticket

2.3 Exemple de Playbook

// Playbook : Isoler un poste de travail suite à une alerte critique
// 1. Déclencheur : Incident avec sévérité "Critical"
// 2. Récupérer les endpoints affectés
// 3. Appeler l'API Defender for Endpoint : Isolate Machine
// 4. Envoyer une notification Teams au SOC
// 5. Ajouter un commentaire dans l'incident

2.4 Headers HTTP personnalisés

// Exemple de connector custom dans un playbook
// POST https://api.service-now.com/api/now/table/incident
// Headers:
//   Content-Type: application/json
//   Authorization: Basic {{secrets('ServiceNowToken')}}
// Body: {
//   "short_description": "{{incident.title}}",
//   "severity": "{{incident.severity}}",
//   "assignment_group": "SOC"
// }

Module 3 : Workbooks et Visualisation

3.1 Workbooks Sentinel

Les workbooks sont des tableaux de bord interactifs basés sur KQL pour visualiser les données de sécurité.

• Text — En-têtes et descriptions
• Query — Résultats KQL en tableau ou graphique
• Metrics — Graphiques de métriques Azure Monitor
• Parts — Éléments HTML personnalisés (Donut, Tiles, etc.)
• Parameters — Filtres interactifs (time range, dropdowns)

3.2 Types de visualisations

• Bar chart — Distribution par catégorie
• Pie chart — Proportions
• Time chart — Évolution temporelle
• Line chart — Tendances
• Area chart — Aires empilées
• Scatter chart — Corrélations
• Table — Données tabulaires
• Tile — Cartes résumées

// Exemple de requête pour un workbook de menace
SecurityAlert
| where TimeGenerated > ago(7d)
| summarize Count = count() by ProductName, AlertSeverity
| order by Count desc
| render barchart with (
    title="Alertes par produit et sévérité (7j)",
    xtitle="Nombre d'alertes",
    ytitle="Produit"
)

3.3 Paramètres de workbook

// Paramètre time range dans un workbook
// 1. Ajouter un paramètre "Timerange" de type "Time range"
// 2. Utiliser {Timerange:start} et {Timerange:end} dans les requêtes

SecurityEvent
| where TimeGenerated between ({Timerange:start} .. {Timerange:end})
| summarize count() by EventID
| order by count_ desc

Module 4 : Threat Hunting

4.1 Méthodologie du Threat Hunting

La chasse aux menaces est une approche proactive pour détecter les compromissions non identifiées par les détections automatiques.

• Hypothèse — Formuler une hypothèse basée sur les tactiques MITRE ou les IoC
• Données — Identifier les tables KQL nécessaires pour tester l'hypothèse
• Requête — Écrire des requêtes KQL pour explorer les données
• Analyse — Évaluer les résultats et valider/infirmer l'hypothèse
• Amélioration — Créer des détections automatiques basées sur les findings

4.2 Techniques de Threat Hunting

• Analyse des IoC — Chercher des indicateurs de compromission (IP, hash, domaines)
• Analyse comportementale — Détecter les déviations par rapport à la normale
• Analyse de pile d'exécution — Explorer les processus enfants et les chaînes d'exécution
• Analyse de cohérence — Vérifier la correspondance entre les événements de sécurité
• Analyse temporelle — Identifier les pics ou patterns inhabituels

4.3 Requêtes de Threat Hunting avancées

// Hunt : Processus exécutés depuis des répertoires inhabituels
DeviceProcessEvents
| where Timestamp > ago(7d)
| where FolderPath has_any ("\\Temp\\", "\\AppData\\Local\\Temp\\", "\\Public\\", "\\Downloads\\")
| where FileName in~ ("powershell.exe", "cmd.exe", "mshta.exe", "wscript.exe", "cscript.exe")
| summarize count() by DeviceName, AccountName, FileName, FolderPath
| order by count_ desc

// Hunt : Détecter le credential dumping (LSASS)
DeviceProcessEvents
| where Timestamp > ago(7d)
| where ProcessCommandLine has_all ("lsass", "procdump") or
        (FileName == "procdump.exe" and ProcessCommandLine has "lsass") or
        (FileName == "rundll32.exe" and ProcessCommandLine has "comsvcs")
| project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine

// Hunt : Connexions RDP anormales
DeviceNetworkEvents
| where Timestamp > ago(7d)
| where RemotePort == 3389
| summarize ConnectionCount = count(), FirstSeen = min(Timestamp), LastSeen = max(Timestamp) by DeviceName, RemoteIP
| where ConnectionCount > 5
| join kind=leftanti (
    DeviceNetworkEvents
    | where RemotePort == 3389
    | where Timestamp > ago(30d)
    | summarize count() by DeviceName, RemoteIP
    | where count_ > 20
) on DeviceName, RemoteIP

Module 5 : Attaques Persistantes Avancées (APT)

5.1 Caractéristiques des APT

• Sponsorisé par un État — Ressources importantes, patience, objectifs géopolitiques
• Persistence — Maintien de l'accès pendant des mois voire des années
• Opérational Security — Minimisation des traces, chiffrement,Living off the Land
• Supply Chain — Compromission de fournisseurs ou de logiciels tiers
• Zero-day — Exploitation de vulnérabilités non corrigées

5.2 Kill Chain des APT

1. Initial Access — Spear phishing, watering hole, supply chain, zero-day
2. Foothold — Backdoor, webshell, persistence registry
3. C2 Setup — Communication chiffrée avec le serveur de commandement
4. Lateral Movement — Pass-the-Hash, Kerberoasting, RDP
5. Privilege Escalation — DCSync, Golden Ticket, Token Manipulation
6. Data Collection — Exfiltration binaire lente, chiffrement, stéganographie
7. Exfiltration — DNS tunneling, HTTPS, cloud storage

5.3 Détection des APT avec Sentinel

// Hunt APT : Détecter le DCSync (credential theft)
SecurityEvent
| where TimeGenerated > ago(30d)
| where EventID == 4662  // Accès aux objets AD
| where Properties has_all ("DS-Replication-Get-Changes", "1131f6aa-9c07-11d1-f79f-00c04fc2dcd2")
| project TimeGenerated, Account = AccountUsed, TargetServer = Computer, Properties

// Hunt APT : Détecter le DNS Tunneling
DnsEvents
| where TimeGenerated > ago(7d)
| extend QueryLength = strlen(ConcatQueryName)
| where QueryLength > 50
| summarize SuspiciousQueries = count(), UniqueDomains = dcount(ConcatQueryName) by ClientIP, bin(TimeGenerated, 1h)
| where SuspiciousQueries > 100 or UniqueDomains > 50
| order by SuspiciousQueries desc

// Hunt APT : Persistence via Scheduled Tasks
SecurityEvent
| where TimeGenerated > ago(30d)
| where EventID == 4698  // Tâche planifiée créée
| where TaskName !startswith "Microsoft"
| project TimeGenerated, Account = Account, TaskName, TaskContent
| order by TimeGenerated desc

Module 6 : Réponse Avancée et Recovery

6.1 Réponse aux incidents critiques

• Confinement réseau — Blocage des IPs/sources dans le NSG ou le pare-feu via playbook
• Confinement endpoint — Isolation du poste via l'API Defender for Endpoint
• Désactivation de compte — Blocage du compte Azure AD compromis via playbook
• Purge d'email — Suppression des emails malveillants via Defender for Office 365

6.2 Forensics et Evidence Collection

• Collecte de préuves — Snapshot des VM, collecte de mémoire, dumps disque
• Chaîne de possession — Documentation complète de la manipulation des preuves
• Analyse forensique — Extraction d'IOC, timeline reconstruction, attribution

6.3 Post-Incident

• Retour d'expérience — Analyse root cause, leçons apprises
• Amélioration des détections — Création de nouvelles règles analytics
• Mise à jour des playbooks — Automatisation de la réponse basée sur les findings
• Reporting — Documentation pour les audits et la conformité