Audit & Purple Team
Auteur : Thibaut Fontaine — Kodetis
Institution : Université de La Réunion
🎯 Mission d’évaluation — l’incident du jour J est instruit, à vous de le prouver. Le rendu n’est pas un compte-rendu : c’est le dossier qui lève l’alerte de Dumont d’Urville et démontre que le réseau TAAF tient.
Élément Détail Module Audit & Purple Team (Acte 3) Durée projet multi-séances (~14h) Travail Individuel ou en binôme Rendu Rapport d’audit (PDF) + fichiers de configuration Plateforme Moodle — Université de La Réunion Prérequis Actes 1 et 2 terminés : le SI (apps), l’observabilité (monitoring) et le SOC (soc) tournent, le scénario est peuplé, l’AD (TAAF-AD-001) est monté. La toolbox se lance avec vagrant up audit puis docker exec -it taaf-audit-toolbox bash.
Vous auditez une infra déjà déployée et peuplée : apps (PostgreSQL, NextCloud), monitoring
(Grafana/Prometheus/Loki), l’AD, et — pour le purple team — la boucle de détection du SOC. Si l’une
de ces briques ne répond pas, revenez à l’acte correspondant avant d’auditer.
Un rapport d’audit professionnel respectant impérativement la structure suivante :
Section Contenu attendu 1. Contexte de la Mission Alerte ANSSI, lettre de mission du RSSI TAAF, cadre temporel et équipe 2. Objectifs de l’Audit Conformité CIS/ANSSI, vulnérabilités, efficacité de détection, recommandations 3. Périmètre de l’Audit Fonctions auditées, VMs apps (SI audité : PostgreSQL/NextCloud), monitoring, SOC, AD Windows , réseau, cadre réglementaire 4. Méthodologie Conformité (Lynis, OpenSCAP, Syft/Grype), scan réseau/web (Nmap, Nikto), audit AD (PingCastle, BloodHound), Purple Team, analyse IA 5. Résultats Conformité Linux, surface d’attaque réseau/web, audit AD (PingCastle/BloodHound) , forensic LotL Windows, downgrade PQC, Purple Team, analyse IA 6. Analyse et Diagnostic Causes racines, corrélation inter-TPs, impact contraintes TAAF, taux de détection 7. Recommandations Classées par priorité (Critique/Haute/Moyenne/Basse) et horizon temporel 8. Conclusions Générales Opinion conformité, efficacité détection, maturité sécurité, prochaines étapes
Le détail complet de chaque section est décrit dans le TP 7 — Rapport & IA .
Le rapport doit être rédigé avec le template Typst de l’Université de La Réunion :
github.com/thibautfontaine-univ/typst-template-univ-reunion
Les formats Word et Google Docs ne sont pas acceptés .
Nommage : nom-prenom-audit-taaf.pdf
Pénalité de -5 points si le format, le template ou le nommage n’est pas respecté.
Pipeline .gitlab-ci.yml de scan de sécurité (TP1)
Exports des scans (Nmap XML, SBOM CycloneDX, Grype JSON, Lynis TXT)
Scripts d’analyse IA (TP7)
Règles de détection personnalisées (si créées)
Les réponses aux questions de chaque TP (~10 questions par TP).
Critère Points Description Audit de conformité /10 Lynis, OpenSCAP, Syft/Grype correctement exécutés et documentés Reconnaissance réseau /10 Nmap, Nikto bien utilisés, cartographie complète Purple Team /10 Scénarios exécutés, détections vérifiées Pipeline CI/CD /10 Pipeline fonctionnel avec scans automatisés
Critère Points Description Qualité de l’analyse /15 Interprétation pertinente, contextualisée TAAF Analyse IA /10 Utilisation pertinente d’Ollama, comparaison critique Recommandations /10 Réalistes, priorisées, argumentées
Critère Points Description Structure du rapport /10 Plan clair, sections bien organisées Lisibilité /10 Captures nettes, tableaux lisibles, police 11pt min Qualité rédactionnelle /5 Français correct, ton professionnel
Difficulté Points par question Nombre Facile 0.5 pt 8 Moyen 1 pt 12 Avancé 1.5 pt 12 Expert 2 pts 8
Total ramené à 20 points (barème par TP donné en séance).
Étape Durée Contenu Conformité Linux 2h30 Lynis, OpenSCAP, Syft/Grype, hardening Scan de vulnérabilités 2h Nmap, Nikto, cartographie de surface Audit Active Directory 2h30 PingCastle, BloodHound (bonus) Forensic incident 2h LotL Windows (TP4), downgrade PQC (TP5) Purple Team 3h Red/Blue sur la cible apps + AD Rapport & Analyse IA 2h30 Consolidation, LLM
Documentation officielle des outils (Lynis, Nmap, Syft, Grype, Wazuh, Falco)
Cette documentation de formation
Outils d’IA (Claude, ChatGPT, Ollama) — voir la politique IA
Transparence IA
Si vous utilisez un LLM pour générer du contenu (au-delà du TP7 qui le requiert), vous devez le mentionner explicitement et expliquer en quoi l’IA vous a aidé.
