Formation CrowdStrike : Protection des endpoints et réponse aux incidents

Programme de la formation
CrowdStrike : Protection des endpoints et réponse aux incidents

• Introduction à CrowdStrike Falcon et EDR

  - Décrire l'architecture de la Falcon Platform.
  - Expliquer le concept d'Endpoint Detection and Response (EDR).
  - Identifier les composants clés de CrowdStrike Falcon.

• Déploiement des agents Falcon

  - Configurer les agents CrowdStrike Falcon pour différents OS.
  - Déployer les agents sur un parc de 500 postes de travail.
  - Vérifier le statut de connexion des agents à la console.

• Gestion des politiques de détection

  - Créer des politiques de détection personnalisées.
  - Appliquer des politiques de sécurité aux groupes d'endpoints.
  - Optimiser les paramètres de détection pour réduire les faux positifs.

• Interprétation des alertes de détection

  - Interpréter les alertes de détection d'intrusions.
  - Analyser les détails des incidents dans la console Falcon.
  - Distinguer les différents types d'alertes (malware, exploit, etc.).

• Investigation des incidents avec Falcon Insight

  - Utiliser Falcon Insight pour la recherche d'événements.
  - Identifier les Indicateurs de Compromission (IOC) associés à une alerte.
  - Suivre la chaîne d'attaque d'un événement de sécurité.

• Isolation et confinement des endpoints

  - Isoler un endpoint compromis via la console Falcon.
  - Gérer les endpoints en mode d'isolation réseau.
  - Rétablir la connectivité d'un endpoint après remédiation.

• Réponse aux incidents et remédiation

  - Exécuter des actions de remédiation suite à un incident.
  - Supprimer des fichiers malveillants à distance.
  - Terminer des processus suspects sur un endpoint.

• Analyse de menaces et Threat Hunting

  - Utiliser la Intelligence sur les menaces de CrowdStrike.
  - Mener des activités de Threat Hunting proactives.
  - Rechercher des IOC spécifiques dans l'environnement.

• Gestion des exclusions et faux positifs

  - Configurer des exclusions pour des applications légitimes.
  - Analyser les faux positifs générés par les détections.
  - Ajuster les politiques pour minimiser les alertes non pertinentes.

• Rapports et tableaux de bord

  - Générer des rapports d'activité et d'incidents.
  - Personnaliser les tableaux de bord de la Falcon Platform.
  - Exporter des données pour des analyses approfondies.

• Cas pratique : Attaque de ransomware

  - Analyser une alerte de tentative d'exécution de ransomware.
  - Isoler le serveur critique affecté.
  - Mener la remédiation et la post-analyse de l'incident.

• Cas pratique : Brèche de données

  - Mener une investigation post-incident pour une brèche de données.
  - Identifier la source et l'étendue de la compromission.
  - Documenter les étapes de la Réponse à Incident.