La formation SEC504 de SANS Institute adopte une approche à double tranchant : enseigner aux défenseurs les outils et méthodes des attaquants pour mieux détecter, contenir et rétablir les systèmes compromis. Sur site comme dans le cloud, le cours vise à limiter les pertes réelles d’une intrusion et prépare à la certification GIAC Certified Incident Handler (GCIH).
🔑 En bref
- Un cours orienté détection et réponse, avec un volet offensif destiné à comprendre les méthodes des attaquants.
- Deux cadres méthodologiques : DAIR (approche SANS) et PICERL (référence NICCS).
- Six sections techniques, dont une journée de Capture-the-Flag sur cyberrange.
- Licence AWS Marketplace de 6 jours, examen GCIH vendu séparément, crédits de formation continue (CPE) annoncés à 37 ou 38.
Un cours à double tranchant : attaquer pour mieux défendre
SEC504 est consacrée aux outils et techniques des attaquants, à l’exploitation et à la gestion des incidents. Le programme couvre les systèmes sur site comme dans le cloud. Malgré un objectif de prévention, la brochure SANS insiste sur la détection et la réponse, car une compromission reste possible même dans un environnement bien protégé. Les participants apprennent à identifier des intrusions sur Windows, Linux et dans le cloud, puis à contenir les incidents, à en atténuer l’impact et à rétablir les opérations.
Le programme prépare à la certification GIAC Certified Incident Handler (GCIH), qui valide la capacité d’un professionnel à détecter, traiter et résoudre des incidents de sécurité.
Deux méthodologies pour un même cycle de réponse
Les sources emploient deux nomenclatures proches. La brochure SANS présente l’approche dynamique DAIR, qui consiste à vérifier, délimiter, contenir, évaluer et corriger les menaces. La fiche NICCS de la CISA, l’agence américaine de cybersécurité et de sécurité des infrastructures, présente la méthodologie PICERL : préparation, identification, confinement, éradication, récupération et retours d’expérience.
| Méthode | Source | Étapes | Logique |
|---|---|---|---|
| DAIR | Brochure SANS | Vérifier, délimiter, contenir, évaluer, corriger | Approche dynamique appliquée à des compromissions réelles |
| PICERL | Fiche NICCS (CISA) | Préparation, identification, confinement, éradication, récupération, retours d’expérience | Cycle structuré en six phases |
Les deux approches se recoupent largement. Le choix dépend surtout du référentiel interne de l’organisation : une équipe qui applique déjà PICERL retrouvera ses repères dans les phases de confinement et d’éradication. NICCS classe par ailleurs SEC504 au niveau de maîtrise 2, qualifié d’« intermédiaire », et propose trois formats : en classe, en ligne avec instructeur et en ligne en libre progression. Les bases du réseau et de la sécurité sont recommandées comme prérequis.
Un programme organisé en six sections
Les objectifs annoncés couvrent l’analyse des hôtes, du réseau et des journaux, les meilleures pratiques de réponse aux incidents dans le cloud, les enquêtes par analyse en direct, l’investigation réseau et la forensique mémoire, ainsi que la protection des actifs critiques. Le syllabus traite aussi de l’évasion des outils de détection, de l’exploitation de vulnérabilités cloud complexes, de la découverte interne, du déplacement latéral et du contournement des contrôles d’accès. Metasploit, Nmap, Nessus, Netcat et Wireshark figurent parmi les outils cités.
Réponse aux incidents et enquêtes informatiques
La première section applique la méthode DAIR à des compromissions réelles. Elle couvre les enquêtes numériques, l’examen en direct, les investigations réseau et mémoire, les enquêtes sur les logiciels malveillants et le cloud, ainsi qu’un exercice pratique appelé « Linux Olympics ».
Reconnaissance, balayage et énumération
La deuxième section introduit le cadre MITRE ATT&CK, le renseignement d’origine ouverte (OSINT), l’interrogation DNS, la reconnaissance de sites web, le balayage réseau et hôte avec Nmap, le balayage cloud et la recherche de cibles cloud clandestines. Elle aborde aussi les sessions SMB et l’outil défensif DeepBlueCLI.
Attaques par mots de passe et accès
La troisième section traite des attaques par mot de passe, des empreintes et de leur cassage, de l’audit des mots de passe de domaine avec DPAT, du stockage non sécurisé dans le cloud et de Netcat.
Attaques publiques, sans clic et post-exploitation
La quatrième section présente Metasploit, les attaques par navigateur, l’exécution de code via des documents Microsoft Office, les injections de commandes, le XSS, les injections SQL, ainsi que les attaques SSRF et IMDS dans le cloud. Une défense associée porte sur la surveillance de l’utilisation des ressources système. La cinquième section aborde l’évasion et la post-exploitation : contournement des protections de point de terminaison, pivot, attaques par détournement, effacement des traces, maintien de l’accès, analyse des menaces avec Real Intelligence Threat Analytics et collecte de données.
Capture-the-Flag en conditions réelles
La sixième section est un événement CTF d’une journée. Les participants jouent le rôle de consultants auprès d’ISS Playlist, entreprise fictivement compromise. Sur un cyberrange comprenant Windows, Linux, des objets connectés et des cibles cloud, ils doivent découvrir les cibles, compromettre des actifs publics et des comptes de messagerie, attaquer Active Directory, tester le password spraying (pulvérisation de mots de passe), le credential stuffing (réutilisation d’identifiants volés) et la devinette de mots de passe, puis pivoter vers des hôtes internes de grande valeur et exfiltrer des données. Un système d’indices accompagne l’exercice, réalisable en équipe ou individuellement.
Public visé et positionnement dans l’offre SANS
SEC504 s’adresse aux gestionnaires d’incidents, aux responsables d’équipes de réponse, aux administrateurs systèmes défendant directement les plateformes, aux premiers intervenants de sécurité, aux praticiens généralistes et aux architectes concevant des systèmes résilients. Le cours appartient aux parcours « Core Techniques » et « Offensive Operations » de SANS, ce dernier regroupant notamment le penetration testing et les équipes rouges et violettes. La fiche NICCS le rattache au cadre NICE « Protection and Defense », à la compétence « Cyber Resiliency » et aux fonctions de cybersécurité défensive, de réponse aux incidents et de soutien à l’infrastructure.
« Les outils et techniques des attaquants ont changé, et nous devons changer nos techniques de réponse aux incidents pour suivre. Depuis que j’ai pris la responsabilité de SEC504 en 2019, j’ai entièrement réécrit le cours pour vous donner les compétences nécessaires pour réussir dans la réponse aux incidents. Que les attaques ciblent Windows, les plateformes de bases de données critiques ou les vulnérabilités du cloud, vous serez prêt à identifier efficacement l’attaque, à minimiser son impact et à répondre avec efficacité. Grâce à votre connaissance des outils et techniques des hackers et à vos compétences de défense qui améliorent considérablement la sécurité, vous serez prêt à devenir l’expert dont votre organisation a besoin pour faire face aux menaces cyber d’aujourd’hui. »
Joshua Wright, responsable du cours SEC504
Prérequis techniques et environnement de travail
Une machine personnelle correctement configurée est requise pour les exercices. Les machines virtuelles fonctionnent sous VMware Workstation sur Windows ou Linux, et sous VMware Fusion sur macOS. SANS prend en charge les MacBook Apple Silicon M1 à M5 grâce à des machines virtuelles ARM64 spécialisées, dont des versions ARM64 de Linux et de Windows 11. Les supports, téléchargés, peuvent atteindre 30 à 40 Go. SANS recommande de sauvegarder la machine avant la formation et de ne pas transporter de système contenant des données sensibles.
Témoignages et retour d’expérience
La brochure reprend plusieurs témoignages. Evan Brunk, d’Acuity Insurance, juge le cours « une très bonne formation dans l’ensemble, parfaite pour les testeurs d’intrusion comme pour les défenseurs ». Alex Colclough, de Clayton Homes, souligne qu’en tant que développeur, comprendre les exploits et les bonnes pratiques de codage renforce la position de sécurité. Joshua Nielson, de Microsoft, décrit SEC504 comme « la meilleure formation que j’aie jamais suivie ». David Freedman, de Nationwide Payment Solutions, estime que « la réponse aux incidents est l’aspect le plus sous-utilisé dans les petites entreprises ».
Dans un compte rendu publié le 3 juin 2021, Ellis S relate une formation de dix jours suivie pendant la pandémie de Covid-19, puis un examen GCIH réussi. Il décrit une classe d’environ 12 personnes, 33 laboratoires réalisés sur deux machines virtuelles (Windows 10 et Linux Slingshot), des feuilles de référence, des articles, des vidéos, six livres et un important carnet de laboratoire. Les questions de laboratoire étaient accessibles via Firefox sur le port 9001. L’instructeur Chris Dale intégrait un feedback immédiat et des exemples issus de son expérience. L’auteur recommande deux ou trois écrans pour travailler simultanément sur les supports, les laboratoires et les applications.
Tarification AWS Marketplace : points à vérifier
AWS commercialise le cours par licence par personne et par siège, sans niveau tarifaire distinct. Chaque siège comprend les laboratoires, les supports imprimés, leurs versions PDF et le matériel de laboratoire. L’examen GCIH est vendu séparément.
| Élément | Information | Source |
|---|---|---|
| Durée | 6 jours | Fiche AWS Marketplace |
| Laboratoires | Plus de 30 (introduction), 44 (caractéristiques) | Fiche AWS Marketplace |
| Laboratoires | 33 | Compte rendu 2021 |
| Crédits CPE | 37 (introduction), 38 (autre mention) | Fiche AWS, brochure SANS |
| Remboursement | Sous 30 jours si le cours n’a pas été consulté | Fiche AWS Marketplace |
| Substitution | Possible avant l’accès au cours, avec frais de traitement | Fiche AWS Marketplace |
Les écarts relevés (30 ou 44 laboratoires, 37 ou 38 CPE) ne sont pas expliqués par les sources ; ils peuvent correspondre à des descriptifs ou à des versions différentes. AWS précise que sa description du produit relève de la responsabilité du vendeur. Au 3 juin 2021, le compte rendu publié sur Medium constituait la réaction détaillée disponible, la fiche AWS invitant encore les acheteurs à être les premiers à laisser un avis.
Perspective : une formation exigeante, à confronter à son profil
SEC504 combine un référentiel méthodologique reconnu, une couverture technique large et une mise en pratique sur cyberrange. Pour une équipe de réponse ou un administrateur chargé de plateformes critiques, le programme offre une lecture complète du cycle d’attaque, de la reconnaissance à la post-exploitation.
Trois scénarios se dégagent. Si l’organisation dispose déjà d’un processus PICERL documenté et souhaite former ses analystes à la détection avancée, le cours comble un écart concret. Si l’équipe doit d’abord consolider ses bases réseau, les prérequis recommandés rendent un passage préalable pertinent. Si le budget est contraint, l’examen GCIH et la licence AWS doivent être comparés aux alternatives, en tenant compte des écarts de descriptifs. Dans tous les cas, la valeur réelle dépendra du temps consacré aux laboratoires.
Sources
- The Register : Hacker Techniques, Exploits and Incident Handling
- SANS Institute : brochure SEC504
- CISA NICCS : fiche SEC504
- Ellis S, compte rendu SEC504 (Medium, 3 juin 2021)
- SANS Institute : page du cours SEC504
- AWS Marketplace : fiche SEC504
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
