Formation Wazuh

Leçon 1 • Analyse approfondie de l'architecture de Wazuh

Explique les composants manager, agent et indexeur, ainsi que leurs interactions. Les étudiants schématisent le flux de données à travers la plateforme.

Leçon 2 • Fondamentaux de la surveillance de la sécurité

Couvre les principes de détection des menaces, la gestion des journaux et la raison d'être des outils SIEM. Établit le périmètre des problèmes auxquels Wazuh répond.

Leçon 3 • Présentation et capacités de Wazuh

Présente Wazuh comme une plateforme de sécurité open source couvrant ses principaux modules. Les étudiants associent les fonctionnalités de Wazuh à des besoins de sécurité réels.

Leçon 1 • Installation de l'agent sur Linux

Couvre l'installation de l'agent via paquet logiciel et script sur les principales distributions Linux. Les étudiants installent et vérifient le fonctionnement d'un agent Linux.

Leçon 2 • Installation de l'agent sur macOS

Aborde les étapes d'installation spécifiques à macOS et l'approbation des extensions système. Les étudiants connectent un agent macOS au manager.

Leçon 3 • Installation de l'agent sur Windows

Détaille le déploiement de l'agent Windows via MSI et script PowerShell. Les étudiants enrôlent un point de terminaison Windows dans le manager Wazuh.

Leçon 4 • Gestion du cycle de vie des agents

Couvre la mise à niveau, la suppression et la supervision de l'état de santé des agents à grande échelle. Les étudiants automatisent les mises à jour des agents à l'aide de l'API Wazuh.

Leçon 1 • Sources et méthodes de collecte de journaux

Présente l'ingestion syslog, les fichiers plats, les journaux d'événements Windows et la collecte basée sur API. Les étudiants configurent chaque méthode de collecte dans le fichier ossec.conf de l'agent.

Leçon 2 • Rédaction de décodeurs personnalisés

Apprend à créer des décodeurs pour des formats de journaux propriétaires ou non pris en charge. Les étudiants produisent un décodeur fonctionnel pour un journal d'application personnalisé.

Leçon 3 • Rédaction et test de règles personnalisées

Guide les étudiants dans la création de règles qui détectent les menaces spécifiques à l'environnement. Les étudiants valident les règles à l'aide de wazuh-logtest avant le déploiement en production.

Leçon 4 • Moteur de règles et génération d'alertes

Explique comment les règles consomment les champs parsés pour générer des alertes avec des niveaux de sévérité. Les étudiants comprennent l'héritage des règles et le déclenchement basé sur la fréquence.

Leçon 1 • Concepts et architecture du FIM

Explique comment le FIM détecte les ajouts, modifications et suppressions à l'aide de sommes de contrôle. Les étudiants comprennent les modes de surveillance planifiée et en temps réel.

Leçon 2 • Configuration des politiques FIM

Couvre les blocs de configuration syscheck pour les répertoires, fichiers et registres. Les étudiants rédigent des politiques qui surveillent les chemins critiques du système d'exploitation et des applications.

Leçon 3 • Réglage des alertes FIM et exclusions

Apprend à réduire les faux positifs en excluant les chemins bruyants et en paramétrant les règles d'alerte. Les étudiants appliquent des motifs d'ignorance et ajustent la sévérité des règles pour les événements FIM.

Leçon 1 • Priorisation et correction des résultats

Applique une priorisation basée sur les risques aux résultats de vulnérabilité en utilisant le contexte d'exploitabilité. Les étudiants construisent un processus de correction intégré aux concepts de ticketing.

Leçon 2 • Configuration des flux de vulnérabilités

Couvre la configuration des flux de vulnérabilités spécifiques au système d'exploitation et tiers dans le manager. Les étudiants ajoutent et valident des flux pour les points de terminaison Linux, Windows et macOS.

Leçon 3 • Présentation du module de détection des vulnérabilités

Explique comment Wazuh inventorie les logiciels et fait correspondre les paquets logiciels aux flux de vulnérabilités. Les étudiants activent le module et confirment la synchronisation des flux.

Leçon 1 • Fondamentaux du module SCA

Explique comment les contrôles SCA s'exécutent, comment les résultats sont notés et quels benchmarks sont inclus par défaut. Les étudiants activent le SCA et examinent les résultats d'analyse initiaux.

Leçon 2 • Interprétation des résultats SCA

Couvre les statuts de contrôle (réussi, échoué, non applicable) et leurs implications en termes de correction. Les étudiants identifient les échecs ayant le plus d'impact dans un rapport d'analyse.

Leçon 3 • Rédaction de politiques SCA personnalisées

Apprend à créer des fichiers de politique SCA au format YAML pour des besoins organisationnels spécifiques. Les étudiants rédigent et déploient une politique personnalisée ciblant une application spécifique.

Leçon 1 • Configuration de la réponse active

Configure des réponses automatisées telles que le blocage d'adresses IP et l'exécution de scripts déclenchées par des alertes. Les étudiants testent les actions de réponse active dans un environnement de laboratoire sûr.

Leçon 2 • Corrélation et agrégation d'alertes

Utilise des règles composites et la corrélation d'alertes pour détecter des modèles d'attaque en plusieurs étapes. Les étudiants construisent une règle de corrélation qui enchaîne plusieurs conditions d'alerte.

Leçon 3 • Processus d'investigation des incidents

Guide une investigation structurée, du triage initial de l'alerte à l'analyse des causes profondes. Les étudiants documentent leurs conclusions à l'aide d'un modèle de rapport d'incident standardisé.

Leçon 4 • Scénarios d'attaque simulés

Exécute des simulations d'attaque contrôlées pour valider la couverture de détection et la vitesse de réponse. Les étudiants identifient les lacunes et ajustent les règles en fonction des résultats de la simulation.

Leçon 1 • Réglage du cluster d'indexeurs Wazuh

Couvre l'allocation des shards, la gestion du cycle de vie des index et l'optimisation des performances des requêtes. Les étudiants configurent des politiques d'index pour gérer la croissance du stockage.

Leçon 2 • Architecture du cluster Wazuh

Explique les rôles des nœuds master et worker, la synchronisation et le comportement en cas de basculement. Les étudiants déploient un cluster à deux nœuds et vérifient la distribution des événements.

Leçon 3 • Réglage des performances et optimisation

Aborde le dimensionnement des files d'attente du manager, le réglage des threads d'analyse et la limitation du débit des événements d'agent. Les étudiants évaluent et optimisent un déploiement Wazuh à volume élevé.

Leçon 4 • Sauvegarde, restauration et mises à niveau

Couvre les stratégies de sauvegarde pour la configuration, les règles et les données d'index, ainsi que les procédures de mise à niveau. Les étudiants exécutent une mise à niveau du manager sans perte de données d'alerte.