Curriculum essentiel pour une formation cyber threat intelligence axée sur la collecte et l’analyse de données
Former des analystes CTI performants ne se résume pas à leur faire mémoriser des acronymes. Il s’agit de bâtir une capacité opérationnelle mesurable : capter des données fiables, les normaliser, les enrichir, les corréler, puis produire des informations exploitables par le SOC et la direction. Ce curriculum, modulaire et ancré dans la pratique, aligne chaque module sur des objectifs concrets, des cas d’usage éprouvés (fraude, campagnes APT, vulnérabilités activement exploitées) et des indicateurs de performance clairs. ⏱️ 5-min read
L’approche proposée s’adresse aux analystes SOC, responsables CTI, experts réseau, formateurs d’entreprise et responsables conformité. Elle privilégie l’industrialisation (chaînes d’ingestion résilientes, normes de données communes, procédures opératoires réutilisables) et la valeur métier (réduction du temps de détection, baisse des faux positifs, amélioration de la prise de décision). Les mises en situation et jeux de données reproductibles garantissent l’acquisition de réflexes, tandis que l’accompagnement post-formation structure la montée en compétences dans la durée.
Objectifs de la formation
Au terme du cursus, les participants sont capables de concevoir une chaîne de collecte robuste, de l’agent jusqu’au stockage, et d’y intégrer de nouvelles sources sans casser l’existant. Ils savent définir des schémas de normalisation cohérents, automatiser des enrichissements (géolocalisation, ASN, réputation, enregistrements DNS et WHOIS), puis exposer ces informations dans des tableaux de bord pertinentes pour le SOC et les équipes d’investigation.
Les objectifs sont mesurables. Côté SOC, on vise une réduction du temps moyen de détection et de réponse, une baisse du taux de faux positifs et un meilleur taux de conversion des alertes en incidents qualifiés. Côté CTI, la qualité des produits livrés est suivie via des scores de confiance, des indicateurs de fraîcheur, des taux de réutilisation des indicateurs et la traçabilité des sources. La formation fournit une trame d’objectifs trimestriels qui facilite le pilotage par la valeur.
Les cas d’usage guident l’apprentissage. Les stagiaires traitent des scénarios de fraude (exfiltration discrète, contournement par DNS, proxys résolus dynamiquement), d’APT (latéralisation sous le radar, infrastructures éphémères, TTP alignées sur la matrice ATT&CK) et d’exploitation de vulnérabilités (priorisation des correctifs selon l’activité observée, contexte de menace et exposition propre). Chaque scénario débouche sur des procédures opératoires prêtes à l’emploi.
Enfin, l’objectif ultime est la production d’intelligence actionnable. Les participants apprennent à livrer des rapports tactiques et opérationnels qui orientent la détection, la chasse aux menaces et la réponse aux incidents, mais aussi des points stratégiques pour les décideurs (tendances, acteurs, scénarios d’impact, options d’atténuation). Le format, la gouvernance de diffusion et l’outillage d’échange sont normés pour un usage immédiat.
Prérequis et compétences attendues
Une base solide en réseaux est indispensable. Les participants doivent comprendre TCP/IP, DNS, routage, ports et services, savoir lire des paquets avec un analyseur de trafic et interpréter des journaux système (authentification, syslog). Cette culture réseau est mobilisée en continu pour qualifier des observables, détecter des anomalies et raisonner sur les flux.
La maîtrise d’un SIEM est attendue. Savoir formuler des requêtes, agréger, pivoter, corréler des événements et créer des visualisations de base est nécessaire pour tirer parti des ateliers. Les environnements proposés couvrent typiquement Elastic Security ou Splunk, avec un accent sur la normalisation des champs et l’optimisation des recherches.
La programmation de scripts en Python et en Bash facilite grandement l’automatisation. Les stagiaires sont amenés à appeler des API (réputation, inventaires d’actifs exposés), parser des journaux, mettre en cache des réponses et alimenter un SIEM ou une plateforme CTI. L’usage de bibliothèques usuelles pour les requêtes HTTP, le traitement de données et la capture réseau est introduit dès les premiers exercices.
Enfin, des notions d’OSINT et de cadre légal sont requises. Connaître les grandes sources publiques, leurs limites d’usage et les exigences de conformité (y compris RGPD) évite les mauvaises pratiques. Pour les profils moins à l’aise en programmation ou en OSINT, des modules d’appoint sont proposés en début de parcours, avec évaluation diagnostique afin d’adapter le rythme et les contenus.
Module 1 — Fondamentaux de la Cyber Threat Intelligence
On ouvre sur les cadres conceptuels qui structurent la discipline. Les trois niveaux de renseignement – stratégique, tactique, opérationnel – sont présentés avec des exemples de livrables, de destinataires et d’indicateurs de réussite. Le cycle de l’intelligence (planification, collecte, traitement, analyse, diffusion, retour d’expérience) fournit le fil directeur de l’ensemble du cursus.
Le Diamond Model sert de grille de lecture pour relier l’adversaire, ses capacités, son infrastructure et ses victimes. Les stagiaires apprennent à documenter systématiquement ces relations, puis à les mapper sur la matrice ATT&CK afin d’identifier les techniques probables, les lacunes de détection et
