Formation Formation IBM QRadar SIEM : Les bases pour la sécurité réseau

Programme de la formation
Formation IBM QRadar SIEM : Les bases pour la sécurité réseau

• Introduction à QRadar SIEM et aux concepts fondamentaux

  - Présentation générale de QRadar SIEM
  - Compréhension du rôle d'un SIEM en cybersécurité
  - Architecture et composants de QRadar
  - Principes de collecte et de corrélation des logs
  - Terminologie clé : événements, flux, actifs, vulnérabilités

• Installation et configuration initiale de QRadar

  - Prérequis système pour QRadar
  - Options de déploiement : tout-en-un, distribué
  - Étapes d'installation d'un appliance QRadar
  - Configuration réseau et première connexion
  - Vérification de l'état des services QRadar

• Collecte d'événements : concepts et sources

  - Types de sources d'événements supportées (logs, syslog, SDEE, etc.)
  - Configuration des Device Support Modules (DSM)
  - Ajout de sources de logs (Log Sources)
  - Analyse et normalisation des événements
  - Vérification de la réception des événements dans QRadar

• Collecte de flux (Flows) et actifs (Assets)

  - Comprendre les données de flux réseau (NetFlow, IPFIX, J-Flow)
  - Configuration des sources de flux (Flow Sources)
  - Association des flux aux actifs du réseau
  - Découverte automatique des actifs par QRadar
  - Gestion manuelle et mise à jour des informations d'actifs

• Navigation dans l'interface utilisateur de QRadar

  - Présentation du tableau de bord Tableau de Bord (Dashboard)
  - Exploration des onglets Activité du journal et Activité du réseau
  - Utilisation des fonctions de recherche et de filtrage
  - Personnalisation de l'interface et des vues
  - Création de tableaux de bord personnalisés pour la surveillance

• Analyse des événements et des profils de flux

  - Recherche avancée d'événements avec AQL (AQL Search Builder)
  - Interprétation des données d'événements et de logs
  - Analyse des informations de flux pour la détection d'anomalies
  - Corrélation manuelle d'événements et de flux
  - Identification des entités impliquées dans les activités.

• Règles de corrélation et détection des incidents

  - Introduction aux règles et aux blocs de construction (Building Blocks)
  - Comprendre le fonctionnement d'une règle (tests, actions)
  - Règles par défaut de QRadar (Default Rules)
  - Création et modification de règles de corrélation
  - Déclenchement et revue des offenses (Offenses) générées

• Gestion des offenses et incidents de sécurité

  - Vue d'ensemble des offenses dans QRadar
  - Priorisation et tri des offenses
  - Analyse détaillée d'une offense (événements liés, actifs, etc.)
  - Attribution et suivi du statut des offenses
  - Fermeture et documentation des offenses.

• Rapports dans QRadar
• Introduction à QRadar Apps et extensions

  - Présentation de l'App Exchange QRadar
  - Installation d'applications courantes (ex: Assistant de Recherche)
  - Utilisation des fonctionnalités supplémentaires apportées par les Apps
  - Mise à jour et gestion des Apps installées
  - Bénéfices des Apps pour l'enrichissement des fonctionnalités

• Maintenance de base et troubleshooting

  - Principes de base de la maintenance de QRadar
  - Surveillance de l'état des composants QRadar (Health)
  - Dépannage des problèmes de collecte d'événements/flux
  - Gestion des alertes système QRadar
  - Bonnes pratiques pour l'optimisation des performances

• Synthèse et cas pratiques d'utilisation

  - Révision des concepts clés de QRadar SIEM
  - Présentation de scénarios d'attaques courants et leur détection
  - Analyse d'un incident de sécurité de bout en bout
  - Bonnes pratiques pour l'utilisation quotidienne de QRadar
  - Questions-réponses et ressources supplémentaires