Formation Splunk : Analyse de logs et surveillance de sécurité (SIEM)

Programme de la formation
Splunk : Analyse de logs et surveillance de sécurité (SIEM)

• Introduction à Splunk Enterprise et concepts fondamentaux

  - Identifier les composants de Splunk Enterprise.
  - Distinguer les types de sources de logs.
  - Expliquer le processus d'indexation de données.

• Configuration de la collecte de logs : Inputs et Forwarders

  - Configurer un Universal Forwarder pour la collecte de logs.
  - Définir des inputs pour différents types de sources (fichiers, réseau).
  - Vérifier l'ingestion des données dans Splunk.

• Bases du Splunk Search Processing Language (SPL)

  - Exécuter des requêtes SPL de base (search, table, fields).
  - Filtrer des événements par mots-clés et champs.
  - Utiliser les opérateurs booléens en SPL.

• Fonctions SPL avancées pour l'extraction de données

  - Appliquer des commandes de transformation (stats, top, rare).
  - Extraire des champs personnalisés avec rex.
  - Utiliser des fonctions temporelles en SPL.

• Analyse des logs d'authentification et détection d'intrusion

  - Écrire des requêtes SPL pour analyser les logs d'authentification.
  - Identifier des tentatives d'intrusion basées sur des échecs de connexion.
  - Visualiser les patterns d'authentification suspects.

• Surveillance des activités serveur critiques avec SPL

  - Développer des requêtes SPL pour surveiller l'activité des serveurs.
  - Détecter des modifications de fichiers ou des accès non autorisés.
  - Créer des tableaux de bord simples pour la surveillance.

• Création de Tableaux de bord (Dashboards) pour la visualisation

  - Concevoir des tableaux de bord interactifs.
  - Intégrer des visualisations (graphiques, tableaux) dans un dashboard.
  - Partager des tableaux de bord avec d'autres utilisateurs.

• Mise en place d'alertes de sécurité basées sur des événements

  - Configurer des alertes Splunk sur des événements spécifiques.
  - Définir des conditions de déclenchement d'alerte.
  - Gérer les actions d'alerte (email, script).

• Introduction à Splunk comme plateforme SIEM

  - Expliquer le rôle de Splunk dans un contexte SIEM.
  - Identifier les Use Cases SIEM courants.
  - Comprendre le concept de corrélation d'événements.

• Corrélation d'événements et détection avancée

  - Corréler des événements provenant de sources différentes.
  - Utiliser des lookups pour enrichir les données.
  - Détecter des séquences d'événements indiquant une menace.

• Rapports de conformité et gestion des incidents

  - Générer des rapports de conformité basés sur les événements de sécurité.
  - Automatiser la création et la distribution de rapports.
  - Documenter les incidents détectés via Splunk.

• Optimisation des requêtes et bonnes pratiques Splunk

  - Optimiser la performance des requêtes SPL.
  - Appliquer les bonnes pratiques d'indexation.
  - Gérer les utilisateurs et les permissions dans Splunk.