Formation sur Wazuh SIEM

Leçon 1 • Plongée approfondie dans l'architecture de Wazuh

Explique les composants manager, agent et indexer ainsi que leurs interactions. Les apprenants schématisent le flux de données à travers la plateforme.

Leçon 2 • Fondamentaux de la surveillance de la sécurité

Couvre les principes de détection des menaces, la gestion des journaux et la raison d'être des outils SIEM. Établit l'espace problématique auquel Wazuh répond.

Leçon 3 • Présentation et capacités de Wazuh

Présente Wazuh comme une plateforme de sécurité open source couvrant ses principaux modules. Les apprenants associent les fonctionnalités de Wazuh à des besoins de sécurité réels.

Leçon 1 • Installation d'agents sur Linux

Couvre l'installation basée sur les paquets et par script sur les principales distributions Linux. Les apprenants installent et vérifient un agent Linux fonctionnel.

Leçon 2 • Installation d'agents sur macOS

Aborde les étapes d'installation spécifiques à macOS et les approbations d'extensions système. Les apprenants connectent un agent macOS au manager.

Leçon 3 • Installation d'agents sur Windows

Parcourt le déploiement d'agents Windows basé sur MSI et par script PowerShell. Les apprenants enrôlent un point de terminaison Windows dans le manager Wazuh.

Leçon 4 • Gestion du cycle de vie des agents

Couvre la mise à niveau, la suppression et la surveillance de l'état de santé des agents à grande échelle. Les apprenants automatisent les mises à jour des agents à l'aide de l'API Wazuh.

Leçon 1 • Sources et méthodes de collecte de journaux

Présente la collecte via syslog, fichiers plats, Journal des événements Windows et API. Les apprenants configurent chaque méthode de collecte dans le fichier ossec.conf de l'agent.

Leçon 2 • Écriture de décodeurs personnalisés

Enseigne la création de décodeurs pour des formats de journaux propriétaires ou non pris en charge. Les apprenants produisent un décodeur fonctionnel pour un journal d'application personnalisé.

Leçon 3 • Écriture et test de règles personnalisées

Guide les apprenants dans la création de règles qui détectent les menaces spécifiques à l'environnement. Les apprenants valident les règles à l'aide de wazuh-logtest avant le déploiement en production.

Leçon 4 • Moteur de règles et génération d'alertes

Couvre la manière dont les règles consomment les champs décodés pour générer des alertes avec des niveaux de sévérité. Les apprenants comprennent l'héritage des règles et le déclenchement basé sur la fréquence.

Leçon 1 • Concepts et architecture FIM

Explique comment FIM détecte les ajouts, modifications et suppressions à l'aide de sommes de contrôle. Les apprenants comprennent les modes de surveillance planifiée vs temps réel.

Leçon 2 • Configuration des politiques FIM

Couvre les blocs de configuration syscheck pour les répertoires, fichiers et registres. Les apprenants écrivent des politiques qui surveillent les chemins critiques du système d'exploitation et des applications.

Leçon 3 • Ajustement et exclusions des alertes FIM

Enseigne la réduction des faux positifs en excluant les chemins bruyants et en ajustant les règles d'alerte. Les apprenants appliquent des motifs d'ignorance et ajustent la sévérité des règles pour les événements FIM.

Leçon 1 • Priorisation et correction des résultats

Applique une priorisation basée sur les risques aux résultats de vulnérabilité en utilisant le contexte d'exploitabilité. Les apprenants construisent un processus de correction intégré aux concepts de ticketing.

Leçon 2 • Configuration des flux de vulnérabilités

Couvre la configuration des flux de vulnérabilités spécifiques au système d'exploitation et tiers dans le manager. Les apprenants ajoutent et valident des flux pour les points de terminaison Linux, Windows et macOS.

Leçon 3 • Présentation du module de détection des vulnérabilités

Présente comment Wazuh inventorie les logiciels et associe les paquets aux flux de vulnérabilités. Les apprenants activent le module et confirment la synchronisation des flux.

Leçon 1 • Fondamentaux du module SCA

Explique comment les vérifications SCA s'exécutent, comment les résultats sont notés et quels référentiels sont fournis par défaut. Les apprenants activent SCA et examinent les résultats d'analyse initiaux.

Leçon 2 • Interprétation des résultats SCA

Couvre les statuts de vérification réussie, échouée et non applicable ainsi que leurs implications en matière de correction. Les apprenants identifient les échecs ayant le plus d'impact dans un rapport d'analyse.

Leçon 3 • Écriture de politiques SCA personnalisées

Enseigne la création de fichiers de politique SCA au format YAML pour les exigences spécifiques à l'organisation. Les apprenants écrivent et déploient une politique personnalisée ciblant une application spécifique.

Leçon 1 • Configuration de la réponse active

Configure les réponses automatisées telles que le blocage d'adresses IP et l'exécution de scripts déclenchées par des alertes. Les apprenants testent les actions de réponse active dans un environnement de laboratoire sécurisé.

Leçon 2 • Corrélation et agrégation d'alertes

Utilise des règles composites et la corrélation d'alertes pour détecter des schémas d'attaque en plusieurs étapes. Les apprenants construisent une règle de corrélation qui enchaîne plusieurs conditions d'alerte.

Leçon 3 • Processus d'investigation des incidents

Guide une investigation structurée du triage initial de l'alerte à l'analyse des causes profondes. Les apprenants documentent leurs conclusions à l'aide d'un modèle de rapport d'incident standardisé.

Leçon 4 • Scénarios d'attaque simulés

Exécute des simulations d'attaque contrôlées pour valider la couverture de détection et la vitesse de réponse. Les apprenants identifient les lacunes et ajustent les règles en fonction des résultats de la simulation.

Leçon 1 • Réglage du cluster d'indexeurs Wazuh

Couvre l'allocation des fragments, la gestion du cycle de vie des index et l'optimisation des performances des requêtes. Les apprenants configurent des politiques d'index pour gérer la croissance du stockage.

Leçon 2 • Architecture du cluster Wazuh

Explique les rôles des nœuds maître et worker, la synchronisation et le comportement de basculement. Les apprenants déploient un cluster à deux nœuds et vérifient la distribution des événements.

Leçon 3 • Réglage et optimisation des performances

Aborde le dimensionnement des files d'attente du manager, le réglage des threads d'analyse et la limitation du débit des événements des agents. Les apprenants évaluent et optimisent un déploiement Wazuh à haut volume.

Leçon 4 • Sauvegarde, restauration et mises à niveau

Couvre les stratégies de sauvegarde pour la configuration, les règles et les données d'index, ainsi que les procédures de mise à niveau. Les apprenants effectuent une mise à niveau du manager sans perte de données d'alerte.