Ma boîte à outils de défenseur

XDR open source — agents hôtes, règles de détection et réponse automatisée, sans licence à payer.

Référence du SIEM commercial pour la recherche et la corrélation à grande échelle.

Centralisation de logs légère, bon compromis pour un lab ou une petite infra.

Stack logs et recherche sur laquelle d'autres outils, Wazuh y compris, s'appuient.

IDS/IPS à signatures, le moteur de détection réseau que j'utilise le plus.

L'autre grand moteur de signatures réseau, utile pour comparer des règles.

Pare-feu et routeur open source, base de segmentation de mes labs.

Analyse de paquets — indispensable pour vérifier ce qu'une règle détecte vraiment.

Pare-feu d'entreprise rencontré en environnement pro, pour la partie périmètre.

Collecte et chasse à distance sur un parc Windows/Linux, DFIR à l'échelle.

Analyse de mémoire vive, pour retrouver processus et artefacts après compromission.

Plateforme de gestion du renseignement — structure les IOC, acteurs et campagnes.

Partage d'indicateurs de compromission entre communautés, standard en CTI.

Écriture de règles pour identifier une famille de malware par motifs.

Formats standards pour structurer et échanger du renseignement sur la menace.

Gestion de cas d'incidents, centralise l'investigation d'une équipe SOC.

SOAR open source pour automatiser les tâches répétitives de triage.

Suivi de tickets, pour la partie gestion et suivi d'un SOC.

Langage principal pour mes scripts d'extraction d'IOC et d'automatisation.

Incontournable pour l'investigation et l'automatisation côté Windows.

Scripts côté Linux — collecte et automatisation rapide.

Hyperviseur de tous mes labs, reconstructibles en quelques minutes.

IaC pour déployer et détruire des labs à la demande — voir le lab de détection dédié.

Provisioning déclaratif, pour reproduire une configuration sans y retoucher à la main.

Conteneurisation des services que j'héberge (SIEM, SOAR, ce site...).

Reverse proxy et certificats, pour exposer mes services proprement.

Annuaire et cible d'étude privilégiée pour comprendre les attaques internes.

Identité cloud, pendant moderne d'AD à sécuriser différemment.

Environnement cloud pour pratiquer la sécurité au-delà du périmètre on-prem.

Supervision d'infrastructure — disponibilité et performance de mes labs.

Observabilité légère, alternative à l'ELK pour un petit environnement.