Structurer une veille et un CERT opérationnel.

Pour qui

À qui s'adresse cette formation

Analystes CTI en montée en compétences
RSSI voulant structurer une fonction veille
Consultants en charge de la surveillance de clients
SOC managers souhaitant créer une capacité CERT

Prérequis

Notions de sécurité, famililarité avec les logs et alertes. MISP recommandé.

Objectifs

À l'issue de la formation

Comprendre l'écosystème infostealer et ses acteurs
Mettre en place une veille automatisée multi-sources
Produire des bulletins CTI opérationnels exploitables
Construire les fondations d'un CERT/CSIRT interne

Certifications associées

GCTI, GCFE — bonne préparation pour les deux

Programme

Ce que vous apprendrez.

Jour 1

Infostealers — comprendre l'écosystème

Panorama des familles : Lumma, Vidar, RedLine, StealC
C2, marchés underground et canaux Telegram
Logs d'infostealer : structure, ce qu'on y trouve
Identifier une machine compromise dans un log
Sources publiques : URLhaus, ThreatFox, C2Tracker

Jour 2

CTI opérationnelle

Cycle du renseignement appliqué à la veille
MISP — setup, taxonomies, corrélation automatique
IOC vs IOA — chasse sur les comportements
Pivots OSINT à partir d'un IOC (domaine → IP → infra → acteur)
Diamond Model appliqué : profiler un acteur

Jour 3

OSINT & surveillance automatisée

Surveillance de domaines et d'identités (typosquatting, leaks)
Automated OSINT : Shodan, Censys, SecurityTrails en API
Honeytokens et canary tokens — détecter les reconnaissances
Workflows d'alerte : de la source au ticket SIEM
TP : pipeline de détection infostealer automatisée

Jour 4

Structurer un CERT / CSIRT

Gouvernance d'un CERT : périmètre, SLA, escalade
Playbooks de réponse à incident par type de menace
Intégration CTI → SOAR → tickets
Communication de crise — technique et non-technique
Exercice final : incident infostealer de A à Z

Planning

Prochaines sessions.

📅

7 – 10 septembre 2026 Paris · Présentiel ou distanciel

2 places

📅

4 – 7 janvier 2027 Paris · Présentiel ou distanciel

6 places

📅

19 – 22 avril 2027 Paris · Présentiel ou distanciel

8 places

Réserver ma place →

Inclus dans le prix

Ce qui est compris

Accès à des logs d'infostealers réels anonymisés
Instance MISP préconfigurée (accès lab 30j)
Playbooks de réponse à incident éditables
Templates de bulletin CTI
Accès Discord communauté 6 mois

✓ Formation Qualiopi — financement OPCO possible.

Sur le blog

Ces sujets, en version lecture

Voir le blog →

19 juin 2026

28 minutes, zéro CVE, accès total

Une compromission complète sans exploiter la moindre vulnérabilité connue. Juste de la donnée ouverte, un identifiant qui traînait et un peu de patience.

Lire l'article →

30 mai 2026

Un log, toute l'entreprise

Ce qu'une seule ligne de journal exposée permet de reconstruire d'une organisation entière, et pourquoi personne ne la surveille.