Ce parcours t’apprend à lire des journaux de toute origine, à les relier entre eux, à écrire des détections simples, à qualifier une alerte et à conduire une investigation jusqu’au rapport, comme le fait un analyste dans un centre des opérations de sécurité (SOC), mais avec des outils gratuits et des fichiers que tu peux ouvrir sur un ordinateur modeste. Dix modules progressifs couvrent la lecture des journaux et le temps, les journaux Linux et serveurs, les journaux Windows, les journaux web et applicatifs, le réseau, le pare-feu, le DNS et le mandataire, les outils d’analyse, la corrélation et la détection, la qualification d’une alerte, la centralisation et la conservation des journaux, et l’investigation d’un incident. Chaque leçon propose un cours détaillé, des extraits de journaux commentés, des exemples corrigés et un quiz avec correction. Cinq travaux pratiques guidés, trois laboratoires déjà publiés (force brute SSH, intrusion web, investigation SOC) et un projet final te font manipuler de vrais formats de journaux sur des exports réalistes : syslog, événements Windows, accès web, pare-feu, DNS et mandataire, avec des critères de réussite vérifiés par la plateforme. Compétences visées : identifier un format et ramener les horodatages en UTC, extraire et compter avec grep, awk, sort, uniq ou PowerShell, lire les sessions et les processus Windows, repérer un balayage ou un appel régulier dans les journaux réseau, relier plusieurs sources en une chronologie, régler une règle de détection, trier et prioriser des alertes, puis rédiger un rapport défendable. Aucun prérequis autre que la curiosité : un ordinateur Windows avec PowerShell ou Git Bash, ou un téléphone avec Termux, suffit pour rejouer les commandes, et les travaux pratiques se font à partir de fichiers fournis, sans serveur ni SIEM. Les vidéos sont en préparation : chaque leçon indique clairement quand la sienne n’est pas encore disponible, et le cours écrit couvre déjà l’essentiel.
32 leçons et 0 quiz de module listés avant inscription.
Ce module pose la méthode de base avant toute enquête : reconnaître une source, lire un événement sans surinterpréter, remettre les heures dans le bon ordre, puis relier des traces par une clé commune sans confondre indice et preuve. Critères de réussite : identifier le format et les champs utiles d’un extrait ; convertir des horodatages vers une chronologie UTC ; formuler une hypothèse prudente et la tester avec au moins une seconde source.
Comprends ce qu’est un journal, d’où il vient, sous quelles formes il arrive, et pourquoi le niveau de gravité change tout pour l’analyse comme pour le stockage.
Lis une ligne de journal comme un fait structuré, sépare l’observation de l’interprétation, et repère le contexte minimum avant de parler d’incident.
Apprends à convertir les horodatages, à repérer les décalages de fuseau ou d’horloge, et à remettre plusieurs sources dans une seule chronologie UTC.
Corrèle plusieurs événements par une clé commune, cherche ce qui confirme ou contredit ton hypothèse, et évite d’identifier trop vite une personne derrière une trace.
Tu entres ici dans les traces les plus courantes d’un serveur Linux : syslog, journald, authentification, sudo et audit d’exécution. L’objectif n’est pas de mémoriser des fichiers, mais de savoir où chercher, quoi compter et comment mesurer la force probante de chaque source. Critères de réussite : choisir le bon journal pour une question précise ; repérer une séquence de connexion ou d’élévation de droits significative ; relier une exécution sensible à sa session d’origine avec prudence.
Repère où Linux écrit ses traces, quand utiliser les fichiers ou journald, et comment retrouver une activité de service dans une plage de temps ou une archive tournée.
Interprète les lignes SSH, PAM, sudo et useradd, compte les échecs avec méthode, puis distingue un bruit opportuniste d’une séquence plus inquiétante.
Croise auditd, l’historique des commandes et les processus pour répondre à la vraie question : qui a lancé quoi, quand, et avec quelle force de preuve.
Ce module t’apprend à lire les événements Windows sans te perdre dans l’interface : choisir le bon journal, comprendre ce que la stratégie d’audit produit, puis relier sessions, comptes, processus, DNS, réseau et PowerShell. Critères de réussite : filtrer un export Windows de façon reproductible, relire une séquence 4625 puis 4624 avec ses types et ses codes, et reconstituer une exécution en reliant Sysmon et PowerShell par leurs champs communs.
Repère les grands journaux Windows, lis la structure d’un événement, comprends ce que l’audit produit ou ne produit pas, puis filtre un export sans dépendre de l’Observateur d’événements.
Lis les principaux événements de session et de comptes sous Windows, interprète les types d’ouverture de session et les codes d’échec, puis groupe les traces par source et par compte sans confondre automatisme et intrusion.
Comprends ce que le journal Security ne montre pas toujours, ce que Sysmon ajoute, comment la journalisation PowerShell complète la vue, puis relie processus, DNS, réseau et fichier pour raconter une exécution.
Ce module te donne une lecture complète des traces web et métier : format des accès, signaux d’attaque visibles, puis confirmation par les journaux applicatifs et de base de données. Critères de réussite : décomposer une ligne « combined », distinguer bruit et succès probable dans une séquence web, et raconter un incident à partir d’un journal d’accès, d’un « request_id » applicatif et d’un effet côté base.
Décompose une ligne « combined », comprends ce qu’elle montre et ce qu’elle ne montre pas, puis compte les clients, les codes et les chemins les plus visibles avec des commandes simples.
Apprends à reconnaître dans les journaux d’accès les traces de balayage, de force brute, d’injection ou de traversée, puis à distinguer bruit opportuniste et séquence plus ciblée.
Lis des journaux applicatifs structurés, cherche les événements métier qui comptent, relie une requête web à l’application puis à la base, et évite les fuites de secrets dans les traces.
Ce module t’apprend à lire les journaux réseau sans te laisser impressionner par le volume : pare-feu, DNS, proxy, flux et alertes IDS disent chacun une partie de l’histoire. Critères de réussite : distinguer bruit entrant et signal utile ; relier un domaine à un poste, un volume et un rythme ; qualifier une alerte réseau avec prudence avant d’escalader.
Apprends à lire une ligne de pare-feu champ par champ, à distinguer le bruit normal d’Internet d’un motif utile, et à compter ports, sources et actions sans conclure trop vite.
Tu apprendras à lire un journal DNS et un access.log Squid, à mesurer la régularité d’un domaine, et à relier un nom demandé à un volume sortant sans surévaluer un faux positif.
Cette leçon t’apprend ce qu’un flux résume, comment lire un extrait de conn.log Zeek et une alerte EVE JSON Suricata, puis comment qualifier une alerte sans extrapoler.
Tu y développes ta boîte à outils quotidienne pour transformer un journal brut en réponse argumentée, puis en analyse rejouable. Critères de réussite : construire un pipeline texte fiable ; extraire proprement des champs avec regex, jq ou PowerShell ; automatiser une analyse simple avec un résultat vérifiable.
Tu vas construire des pipelines simples sur des journaux texte, comprendre ce que chaque maillon apporte, et refaire la même lecture avec des équivalents PowerShell sur Windows.
Apprends à extraire proprement des champs avec une regex, à filtrer du JSON lignes avec jq ou ConvertFrom-Json, et à corriger un motif trop large qui produit des faux positifs.
Cette leçon montre comment transformer une analyse répétitive en script rejouable, avec fichier en lecture seule, hash d’entrée, seuil clair et vérification du résultat attendu.
Ce module t’apprend à transformer des traces isolées en une lecture défensive cohérente, puis à écrire des détections simples que tu sais mesurer et régler. Critères de réussite : choisir une clé de corrélation et bâtir une chronologie en UTC ; écrire une règle avec seuil, fenêtre et groupement explicites ; mesurer précision et rappel avant de modifier une détection.
Apprends à relier plusieurs journaux sans confondre corrélation, causalité et preuve, puis à bâtir une chronologie propre en UTC avec des pivots défendables.
Transforme une observation en règle simple, choisis un seuil défendable, compare fenêtre fixe et glissante, puis relie ta détection à Sigma, à ATT&CK et à la pyramide de la douleur sans promettre plus que ce que tu peux prouver.
Mesure ce que ta règle voit vraiment, calcule précision et rappel, puis règle un seuil ou une exclusion documentée sans sacrifier la surveillance.
Tu y apprends à décider sans te précipiter : qualifier une alerte, ordonner une file d’attente et enrichir les indicateurs sans perdre la confidentialité des journaux. Critères de réussite : rédiger une note de triage qui sépare faits et hypothèses ; classer plusieurs alertes par priorité avec une justification claire ; enrichir un indicateur en notant la source, la date et les limites de l’information obtenue.
Apprends à trier une alerte sans te précipiter, à distinguer les faits des hypothèses, puis à rédiger une note que ton équipe pourra reprendre sans ambiguïté.
Distingue la gravité de la priorité, calcule la gravité par impact × probabilité puis la priorité par gravité × criticité du bien × certitude, et décide quoi traiter d’abord sans inventer de délai standard.
Ajoute du contexte à une alerte avec prudence, désarme les indicateurs avant partage, puis utilise inventaire, WHOIS ou RDAP, RIPEstat et réputation sans exposer de données internes sensibles.
Ce module t’apprend à regrouper des journaux sans perdre leur contexte, à choisir un premier outillage réaliste et à protéger des traces qui deviennent vite sensibles. Critères de réussite : expliquer pourquoi une copie distante améliore l’enquête, estimer un besoin de stockage à partir d’hypothèses simples, et proposer une conservation proportionnée avec des garanties d’intégrité et de confidentialité.
Comprends pourquoi une copie distante change une enquête, quelles sources centraliser d’abord, et comment choisir entre syslog, agents et redirection Windows sans promettre un SIEM magique.
Découvre ce qu’un SIEM fait vraiment, ce qu’il ne fera jamais à ta place, et comment choisir un outillage réaliste entre agents, recherche centralisée et surveillance réseau.
Apprends à fixer une rétention proportionnée, à protéger l’intégrité des archives et à traiter les journaux comme des données personnelles sensibles plutôt que comme de simples fichiers techniques.
Ce module te fait passer de la lecture de traces à la preuve défendable. Tu y relies des journaux déjà publiés à une méthode d’investigation plus formelle. Critères de réussite : préserver l’intégrité des preuves, structurer une chronologie en UTC, et rédiger un rapport qui distingue clairement les faits, les hypothèses et les recommandations.
Lire les échecs de connexion, repérer le moment où l’attaquant réussit et les gestes qui suivent.
Repérer un scan, une injection SQL et une porte dérobée web dans un journal d’accès.
Relier plusieurs journaux, ordonner les événements et rédiger un rapport d’incident clair.
Apprends à travailler sur une copie, à noter une chaîne de conservation claire, puis à transformer une chronologie technique en rapport défendable pour la direction et pour les techniciens.
