Programme de la formation
Sécurité SIEM : Optimiser la protection avec l'analyse des logs

• Introduction aux logs et enjeux de la cybersécurité

  - Définition et types de logs (système, application, réseau)
  - Rôle des logs dans la détection d'incidents et l'investigation
  - Cadre réglementaire et conformité (RGPD, NIS 2)
  - Panorama des menaces et l'importance de la visibilité

• Sources et mécanismes de collecte des logs

  - Log sources: serveurs, firewalls, IDS/IPS, applications
  - Protocoles de collecte: Syslog, SNMP, NetFlow, WMI
  - Agents de collecte: architecture et déploiement
  - Centralisation des logs: principes et architectures de base

• Normalisation, agrégation et stockage des logs

  - Objectifs de la normalisation des données de logs
  - Méthodes d'agrégation et de déduplication
  - Stratégies de stockage: bases de données, fichiers plats, HDFS
  - Gestion de la rétention et de l'archivage des logs

• Introduction aux SIEM (Security Information and Event Management)

  - Définition et architecture fonctionnelle d'un SIEM
  - Composants clés d'un SIEM: collecteur, correlateur, base de données
  - Avantages d'un SIEM pour la sécurité du SI
  - Critères de choix d'une solution SIEM

• Implémentation et configuration d'un SIEM

  - Planification du déploiement SIEM: scoping et prérequis
  - Installation et configuration initiale du SIEM
  - Intégration des sources de logs au SIEM
  - Gestion des utilisateurs et des rôles d'accès

• Règle de corrélation et cas d'usage avancés

  - Conception de règles de corrélation: logique et syntaxe
  - Détection de patterns d'attaques: bruteforce, exfiltration
  - Utilisation des use cases de sécurité courants
  - Gestion des faux positifs et de l'affinage des alertes

• Surveillance en temps réel et tableau de bord SIEM

  - Création de tableaux de bord personnalisés
  - Visualisation des événements et des incidents de sécurité
  - Alerting: configuration des notifications (email, SMS, API)
  - Suivi des indicateurs de sécurité (KPIs)

• Analyse forensique et investigation d'incidents

  - Méthodologie d'investigation d'un incident avec le SIEM
  - Recherche avancée dans les logs: opérateurs et filtres
  - Reconstitution de scories d'attaques
  - Préparation de rapports d'incident pour l'analyse post-mortem

• Optimisation des performances SIEM

  - Monitoring des performances du SIEM (ressources, latence)
  - Indexation et techniques d'optimisation des requêtes
  - Gestion de la volymétrie des logs
  - Scalabilité de l'architecture SIEM (ajout de nœuds)

• Gestion des risques et conformité avec les logs

  - Mapping des logs aux exigences de conformité (ISO 27001)
  - Audit des accès et des activités critiques
  - Détection des non-conformités et des comportements anormaux
  - Rapports de conformité automatisés

• Maintenance et évolutions d'un SIEM

  - Mises à jour logicielles et correctifs de sécurité
  - Sauvegarde et restauration de la configuration SIEM
  - Intégration avec d'autres outils de sécurité (SOAR, TIP)
  - Évaluation des nouvelles fonctionnalités et des besoins futurs

• Cas pratiques et retours d'expérience

  - Scénarios d'attaques réalistes et exercices pratiques
  - Démystification des défis courants d'un projet SIEM
  - Benchmarking et bonnes pratiques de l'industrie
  - Échanges et questions/réponses sur les cas concrets