Formation sentinelle

Leçon 1 • Architecture de l'espace de travail Sentinel

Couvre la structure de l'espace de travail Log Analytics, les groupes de ressources et les relations avec les locataires. Relie les décisions de conception de l'espace de travail aux résultats en matière de conservation des données et de coûts.

Leçon 2 • Principes fondamentaux du SIEM natif cloud

Définit les concepts de SIEM et SOAR et explique en quoi Sentinel diffère des solutions sur site. Établit la base conceptuelle pour tout le travail ultérieur sur la plateforme.

Leçon 3 • Navigation dans le portail Sentinel

Guide les apprenants à travers l'interface du portail Azure, la structure du menu Sentinel et les tableaux de bord clés. Renforce la confiance pour les tâches pratiques dans les chapitres suivants.

Leçon 1 • Dépannage et validation des connecteurs

Fournit des méthodes systématiques pour diagnostiquer les données manquantes, les échecs d'agent et les erreurs de connecteur. Renforce les pratiques de fiabilité essentielles pour les déploiements en production.

Leçon 2 • Connexion des services de sécurité Microsoft

Parcourt l'activation des connecteurs pour Microsoft 365 Defender, Entra ID et les services Azure. Montre comment les intégrations natives réduisent la complexité de la configuration.

Leçon 3 • Ingestion Syslog et CEF

Couvre le transfert de journaux basé sur un agent utilisant les protocoles Syslog et Common Event Format (CEF). Connecte les sources de journaux des appareils Linux et réseau à l'espace de travail Sentinel.

Leçon 4 • Présentation de l'écosystème des connecteurs de données

Passe en revue les catégories de connecteurs intégrés, partenaires et personnalisés ainsi que leurs méthodes d'ingestion. Fournit un contexte pour sélectionner le type de connecteur approprié pour chaque source de données.

Leçon 1 • Optimisation des requêtes et meilleures pratiques

Aborde les performances des requêtes, la réduction des coûts et les normes de lisibilité pour les environnements d'équipe. Prépare les apprenants à écrire des requêtes évolutives utilisées dans les règles d'analyse planifiées.

Leçon 2 • Fonctions, analyseurs et listes de surveillance

Enseigne les fonctions enregistrées, les analyseurs ASIM et l'intégration de listes de surveillance pour une logique de requête réutilisable. Réduit la duplication et standardise la détection dans l'espace de travail.

Leçon 3 • Syntaxe KQL et opérateurs principaux

Introduit la syntaxe d'expression tabulaire, les opérateurs de pipeline et les commandes de filtrage de base. Fournit les bases de la grammaire nécessaires pour tout le travail de requête ultérieur.

Leçon 4 • Jointures, unions et corrélations

Couvre les types de jointures, les instructions union et les corrélations de fenêtre temporelle entre plusieurs tables. Permet une logique de détection des menaces multi-sources essentielle pour les règles d'analyse.

Leçon 1 • Réglage des règles et réduction des faux positifs

Couvre l'ajustement des seuils, la mise sur liste blanche et les exclusions basées sur des listes de surveillance pour améliorer la qualité du signal. Réduit directement la fatigue liée aux alertes des analystes dans les environnements de production.

Leçon 2 • Types de règles d'analyse et cas d'usage

Compare les types de règles planifiées, quasi-temps réel, de fusion, comportementales ML et de sécurité Microsoft. Établit des critères de sélection pour faire correspondre le type de règle aux exigences de détection.

Leçon 3 • Création de règles d'analyse planifiées

Parcourt l'assistant complet de création de règles, y compris la requête, le mappage d'entités et le regroupement d'alertes. Produit des règles qui génèrent des incidents exploitables et bien structurés.

Leçon 4 • Hub de contenu et modèles de règles

Montre comment déployer le contenu de détection à partir du Hub de contenu et personnaliser les modèles de règles. Accélère la couverture de détection à l'aide de la logique fournie par la communauté et les fournisseurs.

Leçon 1 • Signets et collecte de preuves

Enseigne la création de signets de requête pour préserver les preuves et annoter les conclusions lors des investigations. Prend en charge les pistes d'audit et la documentation de transfert pour les équipes de réponse aux incidents.

Leçon 2 • Graphe d'investigation des incidents

Couvre le graphe d'investigation pour visualiser les relations entre les entités et les chronologies d'attaque. Relie les preuves d'alerte à des schémas d'attaque plus larges pour une analyse plus rapide des causes profondes.

Leçon 3 • Clôture des incidents et documentation

Couvre la classification, les raisons de clôture et les normes de commentaires post-incident pour des enregistrements de qualité. Garantit des données cohérentes pour les mesures, l'analyse des tendances et les rapports de conformité.

Leçon 4 • File d'incidents et workflow de tri

Explique la gravité des incidents, les champs d'état et le filtrage de la file d'attente pour un tri efficace. Établit un processus d'admission reproductible qui s'adapte au volume d'alertes.

Leçon 1 • Architecture des Logic Apps et des playbooks

Explique la structure d'Azure Logic Apps, les connecteurs et les déclencheurs utilisés pour créer des playbooks Sentinel. Fournit la base technique pour la conception de workflows de réponse en plusieurs étapes.

Leçon 2 • Test et gouvernance des playbooks

Couvre la revue de l'historique d'exécution, la gestion des erreurs et le contrôle d'accès pour les playbooks de production. Garantit la fiabilité de l'automatisation et empêche les actions non autorisées ou involontaires.

Leçon 3 • Concepts SOAR et règles d'automatisation

Introduit les principes SOAR et les règles d'automatisation Sentinel pour une logique de réponse légère sans code. Établit la couche d'automatisation avant d'introduire la complexité complète des playbooks.

Leçon 4 • Création de playbooks de réponse courants

Guide les apprenants dans la création de playbooks pour la désactivation d'utilisateurs, le blocage d'IP et la création de tickets. Traduit les concepts SOAR théoriques en automatisation déployable et testée.

Leçon 1 • Classeur de renseignements sur les menaces et gestion

Explore le classeur TI intégré pour visualiser la couverture des indicateurs, leur obsolescence et la santé des sources. Prend en charge la gouvernance continue du programme TI et l'évaluation de la qualité des flux.

Leçon 2 • Principes fondamentaux des renseignements sur les menaces

Définit les types d'indicateurs, la notation de confiance et le cycle de vie des renseignements pertinents pour les opérations SIEM. Donne aux apprenants une base dans les concepts TI avant la configuration spécifique à la plateforme.

Leçon 3 • Règles d'analyse basées sur les TI

Enseigne la création de règles de détection qui comparent les données des journaux aux indicateurs importés en temps réel. Convertit directement les renseignements sur les menaces en détections opérationnelles dans l'espace de travail.

Leçon 1 • Pipeline de la chasse à la détection

Enseigne la conversion de requêtes de chasse validées en règles d'analyse programmées et la mise à jour des playbooks. Boucle la boucle entre la chasse proactive et la détection automatisée continue.

Leçon 2 • Notebooks et analyses avancées

Introduit les notebooks Jupyter intégrés à Sentinel pour la chasse assistée par ML et les workflows de science des données. Permet aux analystes avancés d'appliquer des méthodes statistiques aux données de sécurité.

Leçon 3 • Requêtes de chasse et signets Sentinel

Couvre le panneau de chasse, la bibliothèque de requêtes intégrée et le workflow de signet pour capturer les résultats. Relie l'activité de chasse directement à la création d'incidents et à la préservation des preuves.

Leçon 4 • Méthodologie de chasse aux menaces

Introduit la chasse basée sur des hypothèses, le modèle de maturité de la chasse et les cadres de planification de la chasse. Établit une approche structurée qui distingue la chasse de l'investigation réactive.