Démarrage rapide de l'essai gratuit : votre premier lab d'entraînement SOC
Ce guide vous mène de votre première connexion à un essai gratuit jusqu'à une attaque en cours, que votre équipe investigue dans un SIEM. Comptez environ 30 minutes avant que le lab soit prêt, puis la durée de votre exercice.
En 5 minutes
- Dashboard > View scenario sur le scénario FREE proposé (Lumidus), puis Create a lab.
- Gardez les valeurs par défaut, activez la vie légitime et choisissez un SIEM à l'étape Integrations (Elastic si vous n'avez pas de préférence).
- Run lab (1 crédit), puis envoyez le Public link à votre équipe.
- Quand le statut indique
SCENARIO_FINISHED(environ 25 minutes après le lancement), ouvrez Kibana depuis le lab et partez des alertes. - Pour le débriefing, cliquez sur Reveal attack's information et comparez ce que l'équipe a trouvé avec ce que l'attaquant a fait.
Ce que vous allez faire
M&NTIS Platform déploie un réseau d'entreprise simulé, mais réel (postes de travail, serveurs, Active Directory), y joue un véritable scénario d'attaque étape par étape, et enregistre tout dans une chaîne de supervision de sécurité (agents de collecte, sonde réseau, SIEM). Lors du déroulement de l'attaque, des utilisateurs simulés travaillent sur les machines.
Vos analystes SOC ou CERT investiguent cet environnement avec un SIEM, comme en production. Comme la plateforme connaît chaque étape de l'attaquant, vous pouvez ensuite leur montrer précisément ce qu'ils ont trouvé et ce qu'ils ont manqué. C'est le cas d'usage blue team training.
L'essai vous donne 30 jours et 5 exécutions de lab, sur le scénario marqué FREE.
1. Choisir un scénario
Le dashboard propose un scénario inclus dans votre essai, Lumidus : une attaque par rançongiciel contre une organisation du secteur de l'éducation. Cliquez sur View scenario pour lire sa description, puis sur Create a lab.
2. Configurer le lab, sans oublier le SIEM
L'assistant compte six étapes. Les valeurs par défaut conviennent à une session d'entraînement en équipe. Vérifiez trois points :
- Use case : gardez Training. Ce mode active le lien public pour votre équipe, le briefing affiché aux analystes et un questionnaire facultatif.
- Topology and legitimate life : activez Enable legitimate life, pour que vos analystes aient à distinguer l'attaque de l'activité normale des utilisateurs.
- Integrations : choisissez un SIEM.
Choisissez l'un des préréglages : Elastic (Kibana), Splunk, Graylog ou Wazuh. Chacun déploie aussi les agents de collecte et une sonde réseau.
À l'étape Summary, cliquez sur Run lab et confirmez. Chaque exécution coûte 1 crédit.
Conseil
À l'étape Timeline, choisissez une durée qui couvre l'investigation et le débriefing : à l'arrêt du lab, les machines et le SIEM disparaissent.
3. Suivre le lab et le partager avec votre équipe
La mise en place de l'environnement prend jusqu'à 25 minutes, puis l'attaque est jouée automatiquement. Le badge de statut passe de Initialization à Running - SCENARIO_EXECUTION, puis Running - SCENARIO_FINISHED.
Les onglets que vous utiliserez :
| Onglet | Usage |
|---|---|
| Information | Le briefing des analystes, le Public link, et la carte du SIEM avec ses identifiants, un bouton Open et le nombre d'alertes levées |
| Notifications | Progression du lab |
| Lab interaction | Accès à distance aux machines, pour investiguer directement sur les postes |
| Topology | Carte du réseau simulé |
| Assessment | Le questionnaire et les scores de vos analystes |
| Attack report, IOC | Ce que l'attaquant a fait, verrouillé jusqu'à la révélation lors du débriefing |
Pour vous entraîner en équipe, copiez le Public link depuis l'onglet Information et envoyez-le à vos analystes. Ils n'ont pas besoin de compte. Ils travaillent tous dans le même lab et le même SIEM au même moment, mais leur vue masque tout ce qui concerne l'attaque : ni Attack report, ni IOC, ni notifications, ni bouton Stop.
Note
Toute personne disposant du lien peut ouvrir le lab et son SIEM. Ne le partagez qu'avec vos analystes.
4. Investiguer à partir des alertes
Une fois le scénario terminé, la carte du SIEM indique le nombre d'alertes levées. Cliquez sur Open et connectez-vous avec les identifiants affichés sur la carte.
M&NTIS déploie dans le SIEM des règles de détection adaptées au scénario.
À partir de là, les analystes pivotent vers les événements bruts (Discover dans Kibana) pour reconstituer l'intrusion. Le lab collecte les journaux d'événements Windows et Sysmon des postes (créations de processus, connexions réseau, ouvertures de session) et les événements Suricata du réseau. Quelques premières requêtes :
host.name : "client1": tout ce qui s'est passé sur l'hôte de l'alerte ;event.code : "1": processus lancés sur les machines Windows (Sysmon) ;event.module : "suricata": trafic réseau, y compris les téléchargements web et les connexions vers Internet.
Si vous avez activé le questionnaire, les analystes répondent aux questions dans leur onglet Assessment (serveur de la charge malveillante, adresse du C2, machines compromises, ...), et vous voyez leurs scores sur cette page.
5. Débriefing : révéler les étapes de l'attaquant
Une fois le scénario terminé, l'onglet Information de votre lab affiche un bouton Reveal attack's information. Cliquez dessus quand vous êtes prêt pour le débriefing. Il déverrouille les vues ci-dessous dans votre page du lab uniquement : partagez votre écran avec l'équipe.
Attack report : chaque étape de la kill chain, avec sa technique MITRE ATT&CK, ses machines source et cible, les commandes lancées par l'attaquant et leur sortie, et les alertes du SIEM qui lui sont rattachées.
IOC : tous les indicateurs de compromission laissés par l'attaque (domaines, adresses IP, empreintes, noms de fichiers), chacun relié à l'étape qui l'a produit.
Topology : le chemin de l'attaquant, tracé en rouge à travers le réseau.
Une fois terminé, cliquez sur Stop pour arrêter le lab.
Pour aller plus loin
- Entraînement d'analystes SOC/CERT dans des labs réels, la version détaillée de ce guide : toutes les options de l'assistant, tous les onglets du lab, et l'animation du débriefing.
- Supervision et intégrations, pour vous entraîner avec votre propre EDR ou SIEM cloud.