Agentic DFIR Intermédiaire - 4 jours - 4200€ HT
Description
Cette formation pratique porte sur l’usage des modèles de langage et des agents IA en investigation numérique. Elle part de l’analyse manuelle d’une compromission réaliste et va jusqu’à son automatisation. L’objectif est de devenir autonome pour accélérer ses réponses à incident, tout en maîtrisant les limites et les risques de l’intelligence artificielle.
Les participants construisent leurs agents au fil de la semaine, depuis le traitement des archives de collecte jusqu’à un mini-agent de réponse à incident déployé sur un système Linux compromis. Les techniques sont mises en pratique sur des cas Windows et Linux, notamment de l’analyse de malware et de l’analyse mémoire.
En raison de la nature récente et mouvante de ce sujet, Synacktiv se réserve le droit de modifier le contenu de la formation selon les dernières évolutions.
-
4 jours (28 heures)
-
Des fondamentaux des modèles à la conception d’un agent de réponse à incident
-
Une compromission réaliste analysée de bout en bout, d’abord manuellement puis avec des agents, à partir de collectes ORC et UAC, de journaux firewall, de malware et d’une image mémoire
-
Investigation Windows et Linux
Objectifs
- Comprendre le fonctionnement, les capacités et les limites des modèles de langage appliqués à l'investigation numérique
- Concevoir, outiller et évaluer des agents IA pour accélérer l'analyse de collectes, de journaux et de codes malveillants
- Maîtriser les exigences forensiques et les risques de sécurité propres aux agents (traçabilité, intégrité de la preuve, injection d'instructions)
Public et prérequis
Cette formation est adaptée pour des professionnels de l'investigation numérique souhaitant intégrer l'IA agentique à leurs pratiques, notamment :
-
Analystes SOC
-
Analystes réponse à incident
-
Investigateurs forensic
Une expérience de l'investigation numérique Windows et Linux, une bonne maîtrise de la ligne de commande et un niveau de base en Python sont requis. Aucune connaissance préalable en intelligence artificielle n'est nécessaire.
Contenu
Jour 1
Modèles de langage : fonctionnement et limites (tokens, fenêtre de contexte, modèles spécialisés, modèles à raisonnement), classes de modèles (propriétaires et openweight, déploiement local ou cloud, critères de choix), capacités et confidentialité des données. Vibe coding et parseurs : levée des difficultés historiques de l’investigation grâce au vibe coding, création rapide d’un parseur pour une technologie non documentée, identification des informations pertinentes dans les logs, formats connus (JSON, CSV/TSV, SQLite, ESE, clé-valeur) et limites des formats inconnus (chiffrement, délimitation des entrées, extraction naïve). Collecteurs DFIR : ORC et UAC, configuration et contenu des archives, traitement manuel et pipeline. Atelier : mise en place du fil rouge par une analyse d’abord manuelle de la collecte, puis mise en place d’agents pour identifier un artefact sans connaissance préalable.
Jour 2
Anatomie d’un agent : boucle de raisonnement et d’action, appel d’outils, gestion du contexte, instructions, protocoles d’outillage, compétences (skills) et intérêt des sous-agents, approche fondée sur des outils ou génération de code, taille du modèle, agents existants, frameworks de développement et passerelles d’accès aux modèles. Validation et volumétrie : écriture et test automatisé de règles de détection, couverture MITRE ATT&CK, traitement de volumes de données qui dépassent la capacité d’un modèle. Exploitation des collectes : chronologie, détection d’anomalies, persistance et mémoire. Ateliers : écriture de skills, génération de requêtes pour les solutions EDR/XDR et SIEM (SPL, KQL), traitement de journaux firewall en volume et cas des mécanismes de persistance.
Jour 3
Analyse de malware assistée : analyse de codes malveillants par niveaux de complexité (commandes obfusquées, web shells, scripts multi-étapes, binaires). Indicateurs et détection : extraction d’indicateurs et génération de règles YARA. Agent spécialisé ou généraliste : surface d’attaque, auditabilité et maîtrise. Atelier : analyse de malware et analyse mémoire.
Jour 4
Mini-agent de réponse à incident : conception par itérations de prompt (« vibe coding »), de la spécification au déploiement sur un système Linux compromis. Confiance dans les résultats : évaluation des agents (cas d’usage : compromission web) et exigences forensiques (traçabilité, intégrité de la preuve, reproductibilité). Sécurité des agents : injection d’instructions et risques liés aux outils tiers. Actualité et perspectives. Atelier : orchestration des travaux de la semaine et aide à la rédaction.
Toutes les modalités de déroulement de la formation sont détaillées sur cette page.
Contact us
N' pas à nous contacter afin de nous faire part de vos besoins. Notre équipe commerciale se tient à votre disposition pour répondre à toutes vos questions.
