SAE SIEM TAAF — Consignes & évaluation

Acte 2 · SIEM SAE évaluée Sigma · LogQL · Grafana · Discord

🎯 Mission — montez le SOC Grafana-natif qui aurait vu venir l’incident rejoué au jour J, et prouvez-le : des règles qui détectent, une alerte qui tombe, une couverture mesurée.

Ce que vous construisez

Pas un produit à part : une couche détection posée sur la stack d’observabilité de l’Acte 1 (Alloy → Loki → Grafana).

• Détection-as-code — règles Sigma (mappées MITRE ATT&CK) compilées en LogQL (pySigma-backend-loki).
• Alerting — Grafana Alerting → Discord, notification policies par sévérité.
• Sources ingérées dans Loki (via Alloy) — Falco (job="falco"), Zeek (job="zeek", log=ssl|conn|arp), Windows/AD (job="windows"), auth VPN (job="auth"), NextCloud audit (job="nextcloud"), télémétrie SATCOM (job="sat_telemetry"), PostgreSQL (job="postgresql-logs").
• Couverture — tagging ATT&CK + visualisation (S2AN → Navigator).

Wazuh = bonus, pas le tronc commun

Le TP bonus Wazuh (SIEM clé-en-main) sert de point de comparaison avec le SOC que vous bâtissez. Il n’est pas requis pour la SAE.

Ce que vous devez détecter

L’attaque rejouée à la date du jour (J) (cf. threat model), étapes « actives » effectivement construites dans le tronc TP1-3 :

Temps	Ce qu’on détecte	job	Piste LogQL (testée sur le rejeu)
1	Auth VPN julie.moreau hors plage depuis 203.0.113.42 — bail 10.60.30.201 (le pivot)	auth	{job="auth"} |= "julie.moreau" |= "203.0.113.42" |= "WARNING"
3	svc_backup navigue le coffre CLASSIFIED-VAULT-X (lecture via job=falco, « Read sensitive file untrusted »)	falco	{job="falco"} | json | rule="Read sensitive file untrusted" |= "CLASSIFIED-VAULT-X"
4	pg_dump de genetic_samples vu au runtime	falco	{job="falco"} |= "pg_dump"
Corrélation	Killchain phishing → exfiltration (killchain-phishing-to-exfil.yml, T1078 + T1041)	auth + falco	Règle de corrélation dédiée, cf. TP3 — Couverture & Corrélation

Le phishing est le contexte, pas une détection notée

L’e-mail d’hameçonnage (01_phishing_jmoreau.eml) est fourni pour comprendre l’entrée de l’attaquant, mais il n’est pas ingéré dans Loki (ce n’est pas un flux de logs). Votre premier signal détectable est le temps 1 — l’auth VPN qui en découle.

Pistes bonus, non notées

Le fil rouge complet du threat model va plus loin (escalade AD, exfiltration objet, sortie C2, DNS tunneling, downgrade SATCOM, anti-forensic). Ces étapes ne sont pas construites dans le tronc TP1-3 — elles restent des pistes d’exploration bonus, hors périmètre noté de la SAE. Le TP bonus Intégration Windows explore l’axe AD/Windows dans un lab isolé, indépendant du fil rouge.

Parcours (TP de l’Acte 2)

Ordre	TP
Prérequis	SSO AD ↔ NextCloud
1	Détection Sigma → LogQL
2	Alerting & Discord
3	Couverture & Corrélation
Bonus	Wazuh · Windows · Threat hunting IA

Livrables

Rendu PDF nom-prenom-promo.pdf sur Moodle :

1. Règles de détection Sigma + leur compilation LogQL — une par temps noté ci-dessus (auth VPN, lecture du coffre, pg_dump).
2. Capture de l’alerte Discord déclenchée par le rejeu de l’incident.
3. Dashboard de couverture ATT&CK (Navigator) + commentaire des angles morts.
4. Note de corrélation : la règle killchain-phishing-to-exfil.yml (T1078 + T1041), reliant l’auth VPN et l’exfiltration sur la même kill chain.
5. Dossier : démarche, choix d’implémentation, limites.

Nommage

nom-prenom-promo.pdf — -5 points si non respecté.

Grille d’évaluation (indicative)

Critère	Poids
Détections qui matchent réellement (testées sur le rejeu)	35 %
Alerting fonctionnel (Discord, sévérité)	20 %
Couverture ATT&CK + analyse des manques	20 %
Corrélation multi-sources	15 %
Clarté du dossier	10 %

Modalités

• Groupe : 4 personnes max · Durée : projet multi-séances.
• Prérequis : Acte 1 terminé (stack observabilité opérationnelle) + TP SSO AD ↔ NextCloud.
• Golden-box : le cœur tient en ~3-4 Go ; pas de JVM OpenSearch dans le tronc commun.

🇫🇷 Cadre réglementaire

Cette SAE répond à l’axe « supervision et réponse à incidents » de la feuille de route de sécurité numérique de l’État (logique CSIRT / CERT-FR). Voir le Cadre réglementaire.