Défense contre les attaques avancées

Ce cours prolonge le penetration testing du côté de la défense : détecter, prévenir et répondre aux attaques avancées, en particulier les menaces persistantes (APT), les vulnérabilités zero-day et les attaques de la chaîne d’approvisionnement. Il articule une culture de la menace (kill chain, MITRE ATT&CK, renseignement) avec des dispositifs concrets (SIEM, IDS/IPS, EDR), un processus de réponse à incident normalisé (NIST SP 800-61, ISO/IEC 27035) et une justification économique des mesures (ALE, ROSI). Les travaux pratiques, réalisés sur les machines virtuelles de l’étudiant, portent sur la collecte de journaux, l’écriture et le triage d’alertes et la chasse aux menaces.

Objectifs d’apprentissage

• Caractériser les attaques avancées (APT, zero-day, chaîne d’approvisionnement) et leur mode opératoire.
• Utiliser la kill chain et MITRE ATT&CK comme cadres défensifs.
• Concevoir une pile de détection (SIEM, IDS/IPS, EDR) et en évaluer les règles.
• Conduire une réponse à incident selon un cycle normalisé.
• Exploiter le renseignement sur les menaces à trois niveaux.
• Justifier économiquement les mesures de sécurité (ALE, ROSI).

Prérequis

Connaissances en sécurité informatique, notions de penetration testing (cours PTE4231) et de gestion des incidents, administration système et réseaux.

Plan du cours

1. Leçon 1 — Anatomie des attaques avancées, kill chain et ATT&CK
2. Leçon 2 — SIEM, IDS/IPS, EDR et évaluation des détections
3. Leçon 3 — Réponse à incident (NIST SP 800-61) et justification économique
4. Leçon 4 — Renseignement sur les menaces, couverture ATT&CK et TP de chasse

Modalités d’évaluation

Volume horaire : CM 10 h, TD 20 h, TP 10 h, TPE 40 h (4 crédits). Contrôle continu (TD, TP de laboratoire noté sur grille, étude de cas de réponse à incident) et examen terminal (calculs de dimensionnement et de ROSI, analyse de scénarios, cartographie ATT&CK).

Bibliographie

• Bejtlich, R. The Practice of Network Security Monitoring, No Starch Press.
• NIST, SP 800-61 — Computer Security Incident Handling Guide.
• ISO/IEC 27035 — Gestion des incidents de sécurité de l’information.
• MITRE, ATT&CK (base de connaissances) et projet D3FEND.
• NIST, Cybersecurity Framework (CSF).