PROJET 06 : Détecteur d'Incidents SOC & Analyseur SIEM Automatisé

Concevoir un mini-moteur de corrélation SIEM en Python qui ingère des journaux d'accès bruts, détecte les attaques en temps réel et génère des alertes selon le cycle PICERL.

PROJET 06 : Détecteur d'Incidents SOC & SIEM

Contexte Opérationnel

Les équipes de détection font face à un déluge de données. L'automatisation du parsing et de la corrélation d'événements est le cœur de métier d'un analyste SOC L2.

Spécifications Logicielles

1. Ingestion Multi-Sources : Lecture en flux de fichiers de logs Apache/Nginx (format Combined Log Format) et Syslog Linux. 2. Moteur de Détection par Expressions Rationnelles : Identification automatique de signatures d'injections SQL, tentatives de traversée de répertoires (/etc/passwd), exécution de commandes et scans d'outils automatisés (Sqlmap, Nikto). 3. Corrélation Temporelle : Détection de rafales d'échecs de connexion (Brute-force) : plus de 10 codes HTTP 401 sur la même IP en moins de 60 secondes. 4. Génération d'Alertes : Notification horodatée avec niveau de sévérité (CRITICAL, HIGH, MEDIUM), adresse IP source, et recommandation d'action immédiate.

Prérequis & Spécifications

- Script Python orienté objet performant. - Prise en charge d'au moins 4 règles de détection distinctes. - Sortie formatée JSON pour intégration dans un SIEM moderne. - Document de modélisation de réponse à incident selon le standard PICERL.

Règles d'Éthique & Sécurité

Manipulez les journaux d'attaques avec précaution pour éviter toute exécution accidentelle de commandes via injection de terminal.

Portfolio Submission

Enregistrer ma Réalisation

Liez votre code source et intégrez ce projet à votre portfolio RayLab.

Tester dans le Labo Virtuel

Expérimentez votre logique, vos fonctions critiques et vos requêtes réseau dans le bac à sable interactif et le terminal de RayLab.

Ouvrir l'Atelier Virtuel