Audit & Purple Team - Épreuve du Feu

Acte 3 BUT · ceux qui tiennent la base Intermédiaire → Avancé ~10h Lynis · Grype · Nmap · Purple Team

Auteur : Thibaut Fontaine — Kodetis Institution : Université de La Réunion Version : 1.0.0 — 2026

---

Acte 3 — L’Épreuve du Feu

L’ANSSI alerte la DSI des TAAF : des groupes APT (Advanced Persistent Threat) ciblent les infrastructures de recherche polaire françaises. Le RSSI exige un audit de sécurité complet. Vous êtes en poste sur la base — c’est à vous de prouver que les défenses, monitoring et SIEM, fonctionnent réellement.

Ce module est le troisième acte de la formation. Après avoir construit la visibilité (Monitoring) et déployé la détection (SIEM), vous allez tester vos propres défenses en simulant des attaques et en vérifiant que votre infrastructure les détecte.

Le RSSI ne veut plus de promesses, il veut des preuves. Le seul moyen de savoir si vos défenses tiennent : les attaquer.

→ Le parcours complet : la progression et les deux parcours.

D’où vous arrivez — et pourquoi vous êtes seuls ici

Vous venez de l’Acte 2 : l’infrastructure est visible et vigilante. Reste à savoir si ça tient vraiment.

Cet acte est le vôtre. Ceux qui ont bâti la base se sont arrêtés à l’Acte 2 — ils ont vu leur conception à l’épreuve de l’incident, puis ils sont repartis. Vous, vous êtes restés. Le dernier mot sur cette architecture n’appartient pas à celui qui l’a conçue, mais à celui qui doit la tenir : le rapport d’audit que vous produisez ici, c’est ce mot-là.

🇫🇷 Cadre réglementaire

Ce module est le plus transversal vis-à-vis de la feuille de route de sécurité numérique de l’État : il met en pratique l’audit et le contrôle des SI, la logique d’homologation, le maintien en condition de sécurité (vulnérabilités, obsolescence), la sécurité de l’administration et la vérification des défenses (PRA, sauvegardes, détection). Voir le Cadre réglementaire.

---

Objectifs pédagogiques

À l’issue de ce module, vous serez capable de :

• Auditer la conformité d’une infrastructure Linux (CIS benchmarks, Lynis, OpenSCAP)
• Scanner les vulnérabilités d’un réseau et d’applications web (Nmap, Nikto) et auditer les images Docker (Syft, Grype)
• Simuler des attaques réalistes dans un environnement contrôlé (Purple Team)
• Vérifier que le monitoring (Grafana) et le SIEM Grafana-natif (Sigma→LogQL, Falco) détectent les attaques
• Rédiger un rapport d’audit professionnel avec analyse assistée par IA
• Automatiser des scans de sécurité dans un pipeline CI/CD (GitLab CI + Syft/Grype)

---

Architecture

Le module Audit utilise la VM audit (la toolbox) pour auditer surtout la VM apps (TAAF-APPS-001 — le SI observé : NextCloud, PostgreSQL, Adminer) ; la VM monitoring (observabilité : Grafana/Prometheus/Loki) et la VM SOC complètent le périmètre.

graph TB
 subgraph "TAAF-AUDIT-001 (IP_VM3) — la toolbox"
 AUDIT["Poste d'audit<br/>Nmap · Nikto · Lynis · Hydra · OpenSCAP<br/>Syft/Grype (conteneurs) · Ollama (option)"]
 end

 subgraph "TAAF-APPS-001 (IP_APPS) — le SI audité"
 NC["NextCloud"]
 PG["PostgreSQL base_af"]
 ADM["Adminer"]
 end

 subgraph "TAAF-MONITORING-001 (IP_VM1) — observabilité"
 GRAF["Grafana"]
 PROM["Prometheus"]
 LOKI["Loki"]
 end

 subgraph "TAAF-SOC-001 (IP_VM2)"
 SOC["SOC Grafana-natif<br/>Sigma · LogQL · Falco<br/>(Wazuh en bonus)"]
 end

 AUDIT -->|"Scans & Attaques"|NC
 AUDIT -->|"Scans & Attaques"|PG
 AUDIT -->|"Scans réseau"|GRAF
 LOKI -.->|"détections"|SOC
 AUDIT -.->|"Vérifie détection"|GRAF

Boucle de rétroaction

C’est la force de ce module : vous attaquez l’infrastructure, puis vous vérifiez dans Grafana (Loki) que vos attaques ont bien été détectées. Si ce n’est pas le cas, vous devez ajuster vos règles de détection. Le module 3 valide les modules 1 et 2.

---

Travaux Pratiques

Le parcours est linéaire : durcir → cartographier → identité → forensic → rejouer → consolider. Chaque TP s’appuie sur le précédent ; les TP 4-5 (LotL Windows, Downgrade PQC) approfondissent le forensic sur l’incident du fil rouge.

TP	Titre	Durée	Résumé
TP 1	Audit de conformité & Hardening	2h30	Lynis, OpenSCAP, CIS, SBOM Syft + scan Grype, pipeline CI/CD
TP 2	Scan de vulnérabilités & Reconnaissance	2h	Nmap, Nikto, cartographie réseau, corrélation SIEM
TP 3	Audit AD & conformité (PingCastle)	3h	Posture AD avant/après, corrélation kill chain, remédiation ANSSI, bonus BloodHound
TP 4	Ombre Légitime (LotL Windows)	2h30	Event Logs Windows/AD, désobfuscation PowerShell, escalade svc_backup, WMI latéral
TP 5	Downgrade PQC (forensic réseau)	2h30	Zeek ssl.log, downgrade X25519MLKEM768→x25519 sur l’uplink SATCOM
TP 6	Simulation d’attaque Purple Team	3h	Scénarios TAAF, exercice Red vs Blue en binôme
TP 7	Rapport d’audit & Analyse IA	2h30	Rapport final consolidé, analyse LLM (Ollama), recommandations

---

Prérequis

Modules précédents

Ce module s’appuie sur les infrastructures déployées dans les modules précédents :

• Module Monitoring (Acte 1) : Grafana, Prometheus, Loki, Alertmanager déployés et fonctionnels
• Module SIEM (Acte 2) : SOC Grafana-natif (Sigma→LogQL, Falco) avec règles de détection configurées (Wazuh en bonus)

Important

Si vous n’avez pas suivi les modules précédents, assurez-vous que les stacks monitoring et SIEM sont opérationnelles sur vos VMs avant de commencer ce module.

VM Audit

La VM audit doit être démarrée :

vagrant up audit

Outils installés sur TAAF-AUDIT-001

Outil	Version	Usage
Lynis	3.x	Audit de conformité Linux
OpenSCAP	1.3+	CIS benchmarks automatisés
Syft	conteneur	SBOM des images (docker run anchore/syft)
Grype	conteneur	CVE des images / SBOM (docker run anchore/grype)
Nmap	7.x	Reconnaissance réseau
Nikto	2.5+	Scan vulnérabilités web
Hydra	9.x	Tests brute force (contrôlé)
Ollama	latest	LLM local pour analyse de logs (optionnel)

PingCastle et SharpHound ne sont pas dans cette toolbox

Ce sont des binaires .NET Windows : ils s’exécutent sur le contrôleur de domaine TAAF-AD-001 (RDP/console), pas sur la toolbox Linux TAAF-AUDIT-001. Seul BloodHound CE (serveur web/base, conteneur Docker) tourne côté Linux, sur la VM audit, pour analyser le ZIP produit par SharpHound. Détail dans le TP 3 — Audit AD.

---

Scénarios d’attaque contextualisés

Les TPs s’inscrivent dans des scénarios réalistes liés au contexte TAAF :

1. “Espionnage scientifique” — Tentative d’accès non autorisé aux données de biologie marine sur Nextcloud
2. “Compromission satellite” — Brute force SSH sur les communications satellite
3. “Insider threat” — Élévation de privilèges depuis un compte utilisateur standard

Ces scénarios sont détaillés dans le TP 6 - Purple Team.

---

Évaluation

Les critères d’évaluation sont détaillés dans les Consignes SAE Audit.

---

Ressources

• Lynis Documentation
• OpenSCAP User Manual
• Syft & Grype — Anchore
• Nmap Reference Guide
• ANSSI — Guide d’hygiène informatique
• CIS Benchmarks