0x673 - Teknik - Threat Hunting in KQL 101

Valeur des informations & solidité de l’argumentation

La valeur des informations est élevée, car elles proviennent d’un expert avec une expérience terrain significative. L’argumentation est solide, appuyée par des exemples concrets d’incidents réels, comme l’abus de comptes de service et l’utilisation de répertoires non conventionnels pour déposer des malwares. L’accent mis sur l’importance de la connaissance de l’environnement et de l’expérience pour le threat hunting est bien étayé. La démonstration de l’utilisation de la fonction ‘distinct’ pour filtrer le bruit est un exemple pratique et pertinent. La structure du workshop, avec des catégories et un défi bonus, montre une approche pédagogique réfléchie.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est bonne : l’invité cite des outils et des techniques spécifiques, et le workshop est basé sur une infrastructure réelle. Les sources mentionnées incluent Microsoft Sentinel, Defender for Endpoint, Sysmon, et le projet Living Off Trusted Sites, mais aucune URL n’est fournie dans la description. Le titre est en adéquation avec le contenu, qui traite effectivement de threat hunting en KQL. La crédibilité est renforcée par l’expérience professionnelle de l’invité et par le fait qu’il partage des cas concrets.

Le titre est clair et précis, annonçant un contenu technique sur le threat hunting en KQL, ce qui correspond exactement au sujet abordé.

8/10

L'invité est un directeur de la pratique de cyber réponse chez KPMG Canada, avec 12 ans d'expérience en TI et 6 ans en cybersécurité. Il partage des exemples concrets issus de son travail, ce qui renforce la crédibilité. Les informations sont pratiques et reflètent une expertise terrain, mais le format podcast ne permet pas une vérification exhaustive des sources.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Introduction et présentation de l'invité Yoan Schinck.
• 02:00Présentation du workshop Threat Hunting en KQL 101 et de son objectif.
• 05:00Description de l'infrastructure : deux VM, Windows Event Collector, Sentinel.
• 08:00Explication des quatre catégories du workshop : accès initial, services Windows, tâches planifiées, hunting réseau.
• 10:00Discussion sur l'abus des comptes de service et les connexions RDP illégitimes.
• 12:00Exemple concret de dépôt de fichiers malveillants dans des répertoires moins surveillés.
• 15:00Technique d'utilisation de la fonction 'distinct' pour filtrer le bruit.
• 18:00Importance de la connaissance de l'environnement et de l'expérience pour repérer les anomalies.
• 20:00Accessibilité du workshop pour un homelab et universalité des concepts de threat hunting.
• 23:00Conclusion et remerciements.

• Microsoft Sentinel — Plateforme SIEM utilisée dans le workshop pour le threat hunting.
• Microsoft Defender for Endpoint — Source de télémétrie principale pour le workshop.
• Sysmon — Outil de journalisation système utilisé pour capturer des événements supplémentaires.
• Living Off Trusted Sites — Projet de liste de sites et domaines pouvant être abusés par les attaquants, utilisé pour l'enrichissement.

• Microsoft Sentinel documentation — Documentation officielle de Microsoft Sentinel, cohérente avec l'utilisation décrite dans la vidéo.
• Sysmon documentation — Documentation officielle de Sysmon, outil mentionné dans la vidéo.