Contexte
Pour apprendre à défendre une infrastructure, il faut pouvoir l’attaquer sans risque et observer ce qui se passe. J’ai donc monté un réseau de test isolé, qui reproduit les briques d’un petit système d’information et d’un SOC, afin de m’entraîner sur des cas concrets : analyse de journaux, campagnes de phishing, détection d’attaques et réponse à incident.
Architecture
Le laboratoire est hébergé sur l’hyperviseur Proxmox VE. Il se compose de trois couches.
| Couche | Composants | Rôle |
|---|---|---|
| Infrastructure à défendre | 1 contrôleur de domaine Windows Server 2022 (Active Directory), 3 postes Windows 10 Pro | Reproduire un parc d’entreprise avec annuaire, comptes et stratégies de groupe |
| Périmètre réseau | OPNsense (routeur et pare-feu) avec Suricata en IDS/IPS | Segmenter le réseau et détecter les flux suspects |
| Plateforme de défense | Splunk Essentials (SIEM), Wazuh (XDR), Shuffle (SOAR), TheHive (gestion d’incidents), osTicket (tickets) | Collecter, détecter, orchestrer et suivre les incidents |
Cycle de traitement d’un incident
- Les journaux des postes, du contrôleur de domaine et du pare-feu remontent vers Wazuh et Splunk.
- Suricata et les règles de détection génèrent des alertes.
- Shuffle automatise les tâches répétitives : enrichissement d’un indicateur, création d’un cas dans TheHive, ouverture d’un ticket.
- L’analyste qualifie l’alerte, investigue, puis documente l’incident dans TheHive.
Compétences travaillées
- Analyse de journaux et de captures de paquets
- Campagnes de phishing et analyse des indicateurs associés
- Analyse de vulnérabilités et supervision de l’infrastructure
- Renseignement sur la menace et analyse de malwares
- Simulation de techniques d’attaque
- Gestion d’incident et rédaction de rapports
Prochaines étapes
- Publier des scénarios d’attaque rejouables, chacun avec sa détection associée
- Mapper les règles de détection sur MITRE ATT&CK
- Versionner la configuration du laboratoire pour le reconstruire en quelques minutes