Chasse aux Menaces et Ingénierie de Détection
ACTION REQUISE (à lire et exécuter immédiatement)
NOW: Confirmer les autorisations de chasse (blue team) et le périmètre des sources de données (SIEM, exportations EDR)NOW: Établir une hypothèse claire avant d’analyser les données, éviter les alertes inutilesNEXT: Définir les outils et la méthode d’accès aux donnéesACT: Hypothèse → Requête → Validation → Règle
Scénarios d'Application
- Chasse aux menaces (basée sur hypothèses)
- Ingénierie de détection Sigma / YARA
- Optimisation des alertes, analyse des faux positifs
- Avec
malware-analysis/: IOC issus d’échantillons → mise en détection avec cette compétence - Avec
digital-forensics/: artefacts de cas → chasse latérale
Workflow
1. Établir une Hypothèse
Exemple : L’attaquant utilise le living-off-the-land pour se déplacer latéralement
→ Sources de données : Sysmon 1/3/10, Windows Security 4624/4648
→ Critères de succès : Détection d’un processus parent anormal ou d’une source de journalisation rare
2. Requêtage et Cumul
□ Baseline : Périodes et hôtes d’activité administrateur normale
□ Anomalies : Nouveaux services, PowerShell encodé, trafic sortant inhabituel
□ Corrélations : Connexions multiples depuis un même compte sur plusieurs hôtes en peu de temps
3. Transformer en Règle
# Le squelette Sigma se trouve dans malware-analysis ; cette compétence insiste sur :
# - Les faux positifs potentiels
# - Le mapping des champs de la source de données
# - Le lien vers le playbook de réponse
4. Validation
□ Tests atomiques (Atomic Red Team) uniquement en laboratoire autorisé
□ Rejouer les journaux historiques pour vérifier le rappel de la règle
Chaîne d'Outils
| Outil | Usage |
|---|---|
| Sigma CLI / sigmac | Conversion de règles |
| YARA | Fichier / mémoire |
| SIEM (ELK/Splunk etc.) | Requêtes |
| osquery | Chasse sur endpoint |
| Atomic Red Team | Validation de détection (laboratoire) |
Références
references/hunting-loop.md../malware-analysis/references/yara-sigma-rules.md../digital-forensics/
Contexte de Routage
Amont: MASTER R27
Aval: Confirmation d’intrusion → forensics ; échantillon malveillant → malware-analysis
INTERDICTION: Exécuter des simulations d’attaque sur un environnement de production non autorisé
Auto-Vérification de Fin de Tâche
- L’hypothèse et la conclusion sont-elles claires ?
- La règle mentionne-t-elle les faux positifs et la source de données ?
- Checklist complétée ?