Audit de logs système — Détecter une intrusion en 30 minutes
Premier FreeLab du cluster Cybersécurité. Tout serveur Linux génère des milliers de lignes de logs chaque jour. Cachées dans le bruit, les traces d'une intrusion sont là — encore faut-il savoir les voir. Vous apprendrez à utiliser journalctl, auditd et ausearch pour détecter une connexion suspecte, une élévation de privilèges, ou un fichier modifié à votre insu. Lab basé sur un serveur compromis fourni par WeLearnIT.
Prochaine session
Bientôt
✦ Série Découverte — Bootcamp Linux Cybersécurité
Gratuit
Inscription requise — places limitées
📬 Vous serez prévenu de la prochaine session
Pour qui ?
Cette masterclass est faite pour vous si :
- ✓Profils tech juniors qui veulent muscler leurs réflexes sécu
- ✓Aspirants administrateurs systèmes / SOC analysts
- ✓Toute personne envisageant le bootcamp Linux pour la cybersécurité (3 juin 2026)
Objectifs
À l'issue, vous saurez :
- Naviguer dans journalctl avec les filtres essentiels (-u, -p, --since, --grep)
- Comprendre l'architecture syslog/journald sur Linux moderne
- Activer et configurer auditd pour tracer les actions critiques
- Lire un .auditd.log avec ausearch et aureport
- Identifier 4 patterns d'attaque classiques dans des logs (brute force SSH, sudo abusif, accès fichier sensible, exécution suspecte)
- Bâtir un mini-runbook personnel d'investigation forensique
Prérequis
- •Bases Linux conseillées
- •VM CyberOps fournie ou environnement Linux personnel
- •Aucune connaissance sécurité préalable requise
Programme
Le déroulé heure par heure
Wow opener : « Voici les logs d'un serveur hacké, qui trouve l'intrusion ? »
Démarrage par un challenge audience : 200 lignes de logs s'affichent, l'audience devine où est l'attaque. Présentation de la session.
Théorie : architecture des logs Linux
Différence entre rsyslog, journald, auditd. Pourquoi tant d'outils. Quand utiliser quoi. Le concept de chain of custody en forensique.
Lab 1 — Maîtriser journalctl
Connexion à la VM. Filtres essentiels : par service (-u sshd), par priorité (-p err), par date (--since '1 hour ago'), par mot-clé (--grep 'failed'). Recherche en direct d'erreurs SSH récentes.
Lab 2 — Configurer auditd pour tracer les actions critiques
Création de règles auditd sur /etc/passwd, /etc/shadow, et les commandes sudo. Génération d'événements en direct par modification volontaire d'un fichier.
Lab 3 — Investigation forensique sur serveur compromis
Le lab principal : un serveur a été attaqué hier soir. Vous avez 30 minutes pour répondre à 4 questions : quand l'attaquant est entré ? Comment ? Qu'a-t-il fait ? Est-il toujours dans le système ?
Cas concret : « L'attaque ransomware que j'ai investiguée en 2024 »
Storytelling terrain. Comment 30 minutes d'audit de logs ont permis d'identifier le point d'entrée et de couper court à la propagation.
Q&A interactif
Pont vers le bootcamp Linux pour la cybersécurité
Le bootcamp Linux pour la cybersécurité (démarrage 3 juin 2026) couvre l'audit de logs en profondeur, intègre SIEM et inclut un projet d'investigation complet.
Votre intervenant
Animée par
Ce qui est inclus
Tout ce que vous emportez
FAQ
Questions fréquentes
Session bientôt programmée
Soyez notifié de la prochaine session
Inscrivez-vous à la liste d'attente, vous serez parmi les premiers informés dès l'ouverture des inscriptions.
Notre équipe vous contacte dans les 48h pour vous guider dans les étapes suivantes.
Continuez à apprendre
Autres masterclasses
HTTP vs HTTPS — Pourquoi le cadenas vert change tout
Voyez en direct la différence entre un mot de passe envoyé en clair et un mot de passe chiffré.
Hachage avec OpenSSL — Comment prouver qu'un fichier n'a pas été modifié
Empreintes cryptographiques en pratique : MD5, SHA-256, et pourquoi vos téléchargements sont sécurisés.
Chiffrement avec un outil de hacker éthique — Protégez vos données comme un pro
GPG, AES-256, échange de clés : chiffrez et déchiffrez de vraies données en direct.