Formation sentinelle

Leçon 1 • Architecture de l'espace de travail Sentinel

Couvre la structure de l'espace de travail Log Analytics, les groupes de ressources et les relations locataires. Relie les décisions de conception de l'espace de travail aux résultats de conservation des données et de coûts.

Leçon 2 • Fondamentaux du SIEM natif du cloud

Définit les concepts SIEM et SOAR et explique comment Sentinel diffère des solutions sur site. Établit la base conceptuelle pour tout travail ultérieur sur la plateforme.

Leçon 3 • Navigation dans le portail Sentinel

Guide les apprenants à travers l'interface du portail Azure, la structure de menus de Sentinel et les tableaux de bord clés. Renforce la confiance pour les tâches pratiques dans les chapitres suivants.

Leçon 1 • Dépannage et validation des connecteurs

Fournit des méthodes systématiques pour diagnostiquer les données manquantes, les échecs d'agents et les erreurs de connecteur. Renforce les pratiques de fiabilité essentielles pour les déploiements en production.

Leçon 2 • Connexion des services de sécurité Microsoft

Parcourt l'activation des connecteurs pour Microsoft 365 Defender, Entra ID et les services Azure. Démontre comment les intégrations natives réduisent la complexité de la configuration.

Leçon 3 • Ingestion Syslog et CEF

Couvre le transfert de journaux basé sur un agent utilisant les protocoles Syslog et Common Event Format. Connecte les sources de journaux des appareils Linux et réseau à l'espace de travail Sentinel.

Leçon 4 • Aperçu de l'écosystème des connecteurs de données

Passe en revue les catégories de connecteurs intégrés, partenaires et personnalisés ainsi que leurs méthodes d'ingestion. Fournit un contexte pour sélectionner le type de connecteur approprié pour chaque source de données.

Leçon 1 • Optimisation des requêtes et meilleures pratiques

Aborde les performances des requêtes, la réduction des coûts et les normes de lisibilité pour les environnements d'équipe. Prépare les apprenants à écrire des requêtes évolutives utilisées dans les règles d'analyse planifiées.

Leçon 2 • Fonctions, analyseurs et listes de surveillance

Enseigne les fonctions enregistrées, les analyseurs ASIM et l'intégration des listes de surveillance pour une logique de requête réutilisable. Réduit la duplication et standardise la détection dans l'espace de travail.

Leçon 3 • Syntaxe KQL et opérateurs de base

Présente la syntaxe des expressions tabulaires, les opérateurs de tuyau et les commandes de filtrage de base. Fournit la base grammaticale nécessaire pour tout travail de requête ultérieur.

Leçon 4 • Jointures, unions et corrélations

Couvre les types de jointures, les instructions union et les corrélations de fenêtre temporelle entre plusieurs tables. Permet une logique de détection des menaces multi-sources essentielle pour les règles d'analyse.

Leçon 1 • Ajustement des règles et réduction des faux positifs

Couvre l'ajustement des seuils, la mise sur liste blanche et les exclusions basées sur des listes de surveillance pour améliorer la qualité du signal. Réduit directement la fatigue des alertes des analystes dans les environnements de production.

Leçon 2 • Types de règles d'analyse et cas d'usage

Compare les types de règles planifiées, quasi temps réel, fusion, comportementales ML et de sécurité Microsoft. Établit des critères de sélection pour faire correspondre le type de règle aux exigences de détection.

Leçon 3 • Création de règles d'analyse planifiées

Parcourt l'assistant complet de création de règles, y compris la requête, le mappage d'entités et le regroupement d'alertes. Produit des règles qui génèrent des incidents exploitables et bien structurés.

Leçon 4 • Hub de contenu et modèles de règles

Démontre le déploiement de contenu de détection à partir du Hub de contenu et la personnalisation des modèles de règles. Accélère la couverture de détection à l'aide de la logique fournie par la communauté et les fournisseurs.

Leçon 1 • Signets et collecte de preuves

Enseigne la création de signets de requête pour préserver les preuves et annoter les constatations lors des investigations. Prend en charge les pistes d'audit et la documentation de passation pour les équipes d'intervention.

Leçon 2 • Graphe d'investigation des incidents

Couvre le graphe d'investigation pour visualiser les relations entre les entités et les chronologies des attaques. Relie les preuves d'alerte à des schémas d'attaque plus larges pour une analyse des causes profondes plus rapide.

Leçon 3 • Clôture des incidents et documentation

Couvre la classification, les motifs de clôture et les normes de commentaires post-incident pour des enregistrements de qualité. Garantit des données cohérentes pour les métriques, l'analyse des tendances et les rapports de conformité.

Leçon 4 • File d'attente des incidents et flux de travail de triage

Explique la gravité des incidents, les champs d'état et le filtrage de la file d'attente pour un triage efficace. Établit un processus d'admission reproductible qui s'adapte au volume d'alertes.

Leçon 1 • Architecture des Logic Apps et des playbooks

Explique la structure d'Azure Logic Apps, les connecteurs et les déclencheurs utilisés pour créer des playbooks Sentinel. Fournit la base technique pour la conception de flux de travail d'intervention en plusieurs étapes.

Leçon 2 • Test et gouvernance des playbooks

Couvre la revue de l'historique d'exécution, la gestion des erreurs et le contrôle d'accès pour les playbooks de production. Garantit la fiabilité de l'automatisation et empêche les actions non autorisées ou non intentionnelles.

Leçon 3 • Concepts SOAR et règles d'automatisation

Introduit les principes SOAR et les règles d'automatisation Sentinel pour une logique d'intervention légère sans code. Établit la couche d'automatisation avant d'introduire la complexité totale des playbooks.

Leçon 4 • Construction de playbooks d'intervention courants

Guide les apprenants dans la construction de playbooks pour la désactivation d'utilisateurs, le blocage d'IP et la création de tickets. Traduit les concepts SOAR théoriques en automatisation déployable et testée.

Leçon 1 • Classeur de renseignement sur les menaces et gestion

Explore le classeur TI intégré pour visualiser la couverture des indicateurs, l'obsolescence et la santé des sources. Prend en charge la gouvernance continue du programme TI et l'évaluation de la qualité des flux.

Leçon 2 • Fondamentaux du renseignement sur les menaces

Définit les types d'indicateurs, le score de confiance et le cycle de vie du renseignement pertinents pour les opérations SIEM. Ancre les apprenants dans les concepts de TI avant la configuration spécifique à la plateforme.

Leçon 3 • Règles d'analyse basées sur le TI

Enseigne la création de règles de détection qui comparent les données de journal aux indicateurs importés en temps réel. Convertit directement le renseignement sur les menaces en détections opérationnelles au sein de l'espace de travail.

Leçon 1 • Pipeline de la chasse à la détection

Enseigne la conversion des requêtes de chasse validées en règles d'analyse planifiées et la mise à jour des playbooks. Boucle la boucle entre la chasse proactive et la détection automatisée continue.

Leçon 2 • Notebooks et analyses avancées

Présente les notebooks Jupyter intégrés à Sentinel pour la chasse assistée par ML et les flux de travail de science des données. Permet aux analystes avancés d'appliquer des méthodes statistiques aux données de sécurité.

Leçon 3 • Requêtes de chasse Sentinel et signets

Couvre le volet de chasse, la bibliothèque de requêtes intégrée et le flux de travail des signets pour capturer les constatations. Relie l'activité de chasse directement à la création d'incidents et à la préservation des preuves.

Leçon 4 • Méthodologie de chasse aux menaces

Introduit la chasse basée sur les hypothèses, le modèle de maturité de la chasse et les cadres de planification de la chasse. Établit une approche structurée qui distingue la chasse de l'investigation réactive.