Carte bancaire, PayPal ou virement · Maroc et internationalتعلَّم · مارِس · أتقِن

Catalogue / Cybersécurité

Réponse à incident et investigation numérique sur Linux

Enquêter sur vos propres serveurs Linux compromis sans détruire les preuves : triage, journaux, persistance, fichiers suspects, images disque et mémoire, chronologie, puis communication et obligations au Maroc (DGSSI, CNDP).

  • Intermédiaire à avancé
  • 12 leçons
  • 11 h 15

Formation MasterLinux · Texte original

Ce que vous apprendrez

  • Dérouler le cycle de réponse à incident, de la préparation au retour d'expérience
  • Collecter les preuves dans l'ordre de volatilité et tenir une chaîne de conservation
  • Trier un serveur Linux suspect (processus, connexions, comptes, clés SSH, tâches planifiées, services)
  • Lire auth.log, journald, wtmp et auditd pour retrouver qui s'est connecté et ce qui a été lancé
  • Débusquer la persistance (systemd, cron, ld.so.preload, profils shell, authorized_keys)
  • Analyser un fichier suspect sans l'exécuter (empreintes, chaînes, permissions, horodatages)
  • Comprendre l'acquisition d'images disque et mémoire et vérifier leur intégrité
  • Reconstruire une chronologie d'attaque en UTC à partir du disque et des journaux
  • Communiquer pendant une crise et respecter les obligations marocaines (loi 05-20, DGSSI, loi 09-08, CNDP)
  • Mener de bout en bout l'enquête sur trois incidents réels réécrits (minage, web shell, clé SSH ajoutée)

Programme de la formation

12 leçons · 11 h 15
Section 1 — Fondamentaux2 leçons · 1 h 25
  1. Le cycle de réponse à incident et la préparation Aperçu40 min
  2. Collecter les preuves : ordre de volatilité et chaîne de conservation 45 min
Section 2 — Triage et journaux2 leçons · 1 h 50
  1. Triage d'un serveur Linux suspect 55 min
  2. Analyse des journaux : auth, journald, auditd et serveur web 55 min
Section 3 — Investigation4 leçons · 3 h 25
  1. Recherche de persistance : systemd, cron, ld.so.preload, profils shell 55 min
  2. Analyser un fichier suspect sans l'exécuter 50 min
  3. Image disque et image mémoire : concepts et outils 50 min
  4. Construire la chronologie de l'attaque 50 min
Section 4 — Obligations et cas réels3 leçons · 2 h 35
  1. Communiquer pendant la crise et respecter les obligations (Maroc) 45 min
  2. Cas réel : minage de cryptomonnaie sur un serveur exposé 55 min
  3. Cas réel : web shell sur un CMS, puis clé SSH ajoutée 55 min
Section 5 — Projet final1 leçon · 2 h 00
  1. Projet final : enquêter de bout en bout sur un serveur compromis 2 h 00

Prérequis

  • Une bonne pratique de la ligne de commande Linux (le cours « Fondamentaux » au minimum)
  • Savoir administrer un serveur Debian ou Rocky (services, utilisateurs, journaux)
  • Idéalement, la formation « Durcissement (hardening) des serveurs Linux » ou « Analyste SOC avec Wazuh »

À qui s’adresse cette formation ?

  • Administrateurs système qui doivent réagir quand un de leurs serveurs est compromis
  • Analystes SOC qui veulent passer de l'alerte à l'enquête sur la machine
  • Étudiants et techniciens qui visent un poste en réponse à incident (CSIRT, CERT, équipe sécurité)