On commence par l’explication du SIEM( security information and event management) (splunk)
SIEM :
Is a solution that can collect, analyse and monitor security information and events in a network
components like devices, applications, machines servers, its main purpose is to centralize and
establish a good detection of network threats and respond in real time.
Permet:
• Log and events collection.
• Analyze events to detect threats.
• Alerts and notifications.
• Incident management.
• Reporting of all events in the network.
Sysmon:
(System monitor): is a system that can be used in the background of endpoints in order to collects
logs and detailed events about a system activity, Sysmon writes these events to the Windows Event
Log, typically under the Applications and Services Logs > Microsoft > Windows >
Sysmon/Operational path. An analyst could check these logs manually or automate scripts to parse
them for patterns. However, this can become overwhelming on larger networks due to the volume of
data.
✓ The combination of SIEM and Sysmon can be so powerful due to the details offered by the
Sysmon about endpoints that can be centralized in the SIEM and threats can be alerted and
management.
Active directory:
C’est un service développé par Microsoft qui permet la gestion des autorisations et l’accès
aux ressources du réseau, permet également de gérer les identités et il est essentiel pour les
organisations qui nécessitent l’authentification et l’autorisation centralisées des utilisateurs ,
des ordinateurs …
Il compose de :
▪ Domaine : Un regroupement logique des objets réseaux comme : (Ordinateurs, les
utilisateurs…) qui partagent la m base de données de AD, Chaque domaine contient son
propre nom, et ses propres politiques de sécurité.
▪ Contrôleur de domaine : C’est le serveur qui exécute l’active directory et répond aux
demandes des utilisateurs d’authentification des utilisateurs et des ordinateurs dans le
domaine, permet également de stocker la base de données de l’active directory et gère
l’accès aux ressources .
▪ Unités organisationnels : Les OUs sont des conteneurs au sein d'un domaine qui peuvent
contenir des utilisateurs, des groupes, des ordinateurs et d'autres OUs. Elles aident à
organiser les ressources logiquement et à appliquer efficacement les stratégies de groupe.
▪ Groupes : Permet de collecter les comptes des utilisateurs.
▪ Forêt : Conteneur du niveau supérieur de AD, il contient plusieurs domaines permet de
définir les limites de la structure AD.
▪ Schéma : Le schéma définit les types d'objets et les attributs qui peuvent être stockés dans
Active Directory. C'est un plan pour l'annuaire et peut être étendu pour accueillir de
nouveaux types d'objets.
▪ Relations de confiance : Les relations de confiance sont établies entre les domaines pour
permettre aux utilisateurs d'un domaine d'accéder aux ressources d'un autre. Il existe
différents types de relations de confiance (par exemple, unidirectionnelles, bidirectionnelles,
transitoires).
On passe maintenant aux fonctionnalités de AD :
▪ Authentification Centralisée : AD permet aux utilisateurs de se connecter à leurs ordinateurs
et d'accéder aux ressources à l'aide d'un seul ensemble d'identifiants (nom d'utilisateur et
mot de passe).
▪ Gestion des Stratégies de Groupe : Les administrateurs peuvent appliquer des paramètres
de sécurité et des configurations à plusieurs utilisateurs et ordinateurs à l'aide de stratégies
de groupe, garantissant ainsi la conformité et la sécurité.
▪ Protocole LDAP : Active Directory utilise le protocole Lightweight Directory Access Protocol
(LDAP) pour interroger et modifier les services d'annuaire. LDAP est un protocole standard
utilisé pour accéder et gérer les informations d'annuaire.
▪ Réplication : Active Directory prend en charge la réplication entre les contrôleurs de
domaine pour garantir que tous les DC ont des informations à jour. Cela aide à améliorer la
tolérance aux pannes et l'équilibrage de charge.
▪ Délégation de Contrôle : Les administrateurs peuvent déléguer des tâches administratives
spécifiques à d'autres utilisateurs ou groupes sans leur donner un contrôle total sur le
domaine.
Atomic redteam :
Atomic Red Team is an open-source library of security tests designed to simulate various cyberattack
techniques. It provides a set of small, discrete, and highly customizable tests that mimic the behavior
of real-world adversaries, focusing on tactics, techniques, and procedures (TTPs) as defined by the
MITRE ATT&CK framework.
Key Features of Atomic Red Team:
• Modular Testing: Each test is a standalone "atomic" test, allowing you to execute specific
techniques without the need for complex setups.
• Customization: Tests can be tailored to fit specific environments, helping you evaluate how well
your security tools detect and respond to specific threats.
• Integration with MITRE ATT&CK: The tests are mapped to the MITRE ATT&CK framework, allowing
you to focus on particular tactics and techniques relevant to your organization.
• Cross-Platform: Atomic Red Team supports multiple platforms, including Windows, macOS, and
Linux, making it versatile for testing across different environments.
• Community-Driven: It’s maintained by the cybersecurity community, with contributions from
various security professionals, ensuring that it remains up-to-date with the latest attack techniques.
Use Cases:
• Security Validation: Test your security controls to see how well they detect and respond to specific
threats.
• Red Teaming: Use Atomic Red Team to simulate attacker behavior in a controlled manner, helping
to assess the effectiveness of your defensive measures.
• Blue Team Training: Train your incident response team by exposing them to realistic attack
scenarios.
• Security Tool Evaluation: Evaluate the effectiveness of security tools like EDR (Endpoint Detection
and Response) by running relevant atomic tests.
Overall, Atomic Red Team provides a practical and accessible way for organizations to simulate and
test their defenses against real-world cyber threats.
