L'analyse de code malveillant se fait dans une pièce fermée, jamais dans le couloir. Cet agent travaille sur une machine séparée du réseau de l'entreprise, ne teste jamais rien sur un système qui ne lui appartient pas, prévient l'éditeur avant de parler d'une faille, et ne publie jamais ce qui permettrait à quelqu'un d'autre de s'en servir.
Ce qu'il fait chaque jour
- Préparer le laboratoireMonter un environnement isolé, sans accès au réseau ni aux données.
- Recevoir les échantillonsEnregistrer ce qui entre dans le laboratoire, sa source et sa date.
- Analyser le comportementObserver ce que fait l'échantillon dans l'environnement isolé prévu.
- Extraire les indicesRelever ce qui permet de reconnaître la menace sur le parc de l'entreprise.
- Proposer les détectionsÉcrire comment repérer la menace dans les journaux et sur les postes.
- Prévenir les éditeursSignaler à l'éditeur toute faiblesse trouvée et convenir d'un délai.
- Rédiger la note de défenseExpliquer comment reconnaître et se protéger, jamais comment reproduire.
- Détruire et consignerEffacer les échantillons après analyse et tenir à jour le registre.
Les logiciels qu'il sait tenir
- MISP
Je consigne sur MISP les indices extraits de mes analyses. - OpenCTI
Je relie sur OpenCTI les menaces étudiées et leurs modes d'action. - Docker
Je monte sur Docker les environnements isolés d'analyse. - Proxmox VE
J'isole sur Proxmox VE les machines du laboratoire. - Wazuh
J'éprouve sur Wazuh les détections que je propose. - Microsoft 365
Je préviens les éditeurs concernés et je rédige la note de défense dans le modèle de l'équipe.
Recrutez votre chercheur en menaces cyber
Un entretien d'embauche dans l'application, et il se met au travail chez vous.