Formation sentinelle

Leçon 1 • Architecture de l'espace de travail Sentinel

Couvre la structure de l'espace de travail Log Analytics, les groupes de ressources et les relations de locataire. Relie les décisions de conception de l'espace de travail aux résultats de conservation des données et de coûts.

Leçon 2 • Fondamentaux du SIEM natif du nuage

Définit les concepts de SIEM et SOAR et explique en quoi Sentinel diffère des solutions sur site. Établit la base conceptuelle pour tout le travail ultérieur sur la plateforme.

Leçon 3 • Navigation dans le portail Sentinel

Guide les apprenants à travers l'interface du portail Azure, la structure de menu de Sentinel et les tableaux de bord clés. Renforce la confiance pour les tâches pratiques dans les chapitres suivants.

Leçon 1 • Dépannage et validation des connecteurs

Fournit des méthodes systématiques pour diagnostiquer les données manquantes, les défaillances d'agents et les erreurs de connecteur. Renforce les pratiques de fiabilité essentielles pour les déploiements de production.

Leçon 2 • Connexion des services de sécurité Microsoft

Montre comment activer les connecteurs pour Microsoft 365 Defender, Entra ID et les services Azure. Démontre comment les intégrations natives réduisent la complexité de la configuration.

Leçon 3 • Ingestion Syslog et CEF

Couvre le transfert de journaux basé sur un agent utilisant les protocoles Syslog et Common Event Format. Connecte les sources de journaux Linux et de dispositifs réseau à l'espace de travail Sentinel.

Leçon 4 • Aperçu de l'écosystème des connecteurs de données

Passe en revue les catégories de connecteurs intégrés, partenaires et personnalisés ainsi que leurs méthodes d'ingestion. Fournit un contexte pour sélectionner le type de connecteur approprié pour chaque source de données.

Leçon 1 • Optimisation des requêtes et meilleures pratiques

Aborde les performances des requêtes, la réduction des coûts et les normes de lisibilité pour les environnements d'équipe. Prépare les apprenants à écrire des requêtes évolutives utilisées dans les règles d'analyse planifiées.

Leçon 2 • Fonctions, analyseurs et listes de surveillance

Enseigne les fonctions enregistrées, les analyseurs ASIM et l'intégration de listes de surveillance pour une logique de requête réutilisable. Réduit la duplication et standardise la détection dans l'espace de travail.

Leçon 3 • Syntaxe KQL et opérateurs de base

Présente la syntaxe d'expression tabulaire, les opérateurs de pipeline et les commandes de filtrage de base. Fournit la base grammaticale nécessaire pour tout travail de requête ultérieur.

Leçon 4 • Jointures, unions et corrélations

Couvre les types de jointure, les instructions union et les corrélations de fenêtre temporelle sur plusieurs tables. Permet une logique de détection des menaces multisource essentielle pour les règles d'analyse.

Leçon 1 • Réglage des règles et réduction des faux positifs

Couvre l'ajustement des seuils, la mise sur liste autorisée et les exclusions basées sur des listes de surveillance pour améliorer la qualité du signal. Réduit directement la fatigue liée aux alertes des analystes dans les environnements de production.

Leçon 2 • Types de règles d'analyse et cas d'utilisation

Compare les types de règles planifiées, quasi-temps réel, fusion, comportementales ML et Microsoft Security. Établit des critères de sélection pour faire correspondre le type de règle aux exigences de détection.

Leçon 3 • Création de règles d'analyse planifiées

Parcours l'assistant complet de création de règles, y compris la requête, le mappage d'entités et le regroupement d'alertes. Produit des règles qui génèrent des incidents exploitables et bien structurés.

Leçon 4 • Centre de contenu et modèles de règles

Démontre le déploiement de contenu de détection à partir du Centre de contenu et la personnalisation des modèles de règles. Accélère la couverture de détection à l'aide d'une logique fournie par la collectivité et les fournisseurs.

Leçon 1 • Signets et collecte de preuves

Enseigne à créer des signets de requête pour préserver les preuves et annoter les conclusions lors des enquêtes. Prend en charge les pistes d'audit et la documentation de transfert pour les équipes d'intervention.

Leçon 2 • Graphique d'enquête sur les incidents

Couvre le graphique d'enquête pour visualiser les relations entre entités et les chronologies des attaques. Relie les preuves d'alerte à des schémas d'attaque plus larges pour une analyse plus rapide des causes profondes.

Leçon 3 • Clôture des incidents et documentation

Couvre la classification, les motifs de clôture et les normes de commentaires post-incident pour des dossiers de qualité. Assure des données cohérentes pour les mesures, l'analyse des tendances et les rapports de conformité.

Leçon 4 • File d'attente des incidents et flux de travail de triage

Explique la gravité des incidents, les champs d'état et le filtrage de la file d'attente pour un triage efficace. Établit un processus d'admission reproductible qui évolue avec le volume d'alertes.

Leçon 1 • Architecture de Logic Apps et des playbooks

Explique la structure, les connecteurs et les déclencheurs d'Azure Logic Apps utilisés pour créer des playbooks Sentinel. Fournit la base technique pour concevoir des flux de travail d'intervention en plusieurs étapes.

Leçon 2 • Test et gouvernance des playbooks

Couvre l'examen de l'historique des exécutions, la gestion des erreurs et le contrôle d'accès pour les playbooks de production. Assure la fiabilité de l'automatisation et prévient les actions non autorisées ou non intentionnelles.

Leçon 3 • Concepts SOAR et règles d'automatisation

Présente les principes SOAR et les règles d'automatisation de Sentinel pour une logique d'intervention légère sans code. Établit la couche d'automatisation avant d'introduire la complexité complète des playbooks.

Leçon 4 • Construction de playbooks d'intervention courants

Guide les apprenants dans la construction de playbooks pour la désactivation d'utilisateurs, le blocage d'adresses IP et la création de tickets. Traduit les concepts SOAR théoriques en automatisation déployable et testée.

Leçon 1 • Classeur et gestion du renseignement sur les menaces

Explore le classeur TI intégré pour visualiser la couverture des indicateurs, l'obsolescence et la santé des sources. Soutient la gouvernance continue du programme TI et l'évaluation de la qualité des flux.

Leçon 2 • Fondamentaux du renseignement sur les menaces

Définit les types d'indicateurs, la notation de confiance et le cycle de vie du renseignement pertinents pour les opérations SIEM. Fonde les apprenants sur les concepts TI avant la configuration spécifique à la plateforme.

Leçon 3 • Règles d'analyse basées sur le TI

Enseigne à créer des règles de détection qui comparent les données de journal aux indicateurs importés en temps réel. Convertit directement le renseignement sur les menaces en détections opérationnelles dans l'espace de travail.

Leçon 1 • Pipeline chasse-à-détection

Enseigne à convertir les requêtes de chasse validées en règles d'analyse planifiées et à mettre à jour les playbooks. Ferme la boucle entre la chasse proactive et la détection automatisée continue.

Leçon 2 • Blocs-notes et analyses avancées

Présente les blocs-notes Jupyter intégrés à Sentinel pour la chasse assistée par ML et les flux de travail de science des données. Permet aux analystes avancés d'appliquer des méthodes statistiques aux données de sécurité.

Leçon 3 • Requêtes de chasse et signets Sentinel

Couvre le panneau de chasse, la bibliothèque de requêtes intégrée et le flux de travail des signets pour capturer les conclusions. Relie l'activité de chasse directement à la création d'incidents et à la préservation des preuves.

Leçon 4 • Méthodologie de chasse aux menaces

Présente la chasse axée sur les hypothèses, le modèle de maturité de la chasse et les cadres de planification de la chasse. Établit une approche structurée qui distingue la chasse de l'enquête réactive.