Analyste SOC — Threat Hunting & analyse forensique
Polytechnique MontréalJanv. 2024 – Aujourd'hui
A mené une analyse forensique complète sur 24 scénarios d'attaque réels issus des datasets Splunk Boss of the SOC v2 et v3 dans le cadre d'un projet de maîtrise en cybersécurité.
- A analysé des investigations APT multi-étapes couvrant l'ensemble de la chaîne d'attaque : spearphishing, exécution, persistance via tâches planifiées et modifications de registre (HKLM), établissement de C2 sur 45.77.65.211:443 en SSL, exfiltration par DNS/FTP/SMB et effacement des traces via wevtutil.
- A identifié et documenté plus de 110 IOCs (certificats SSL SHA1, clés RC4, backdoors svcvnc) sur l'ensemble des 24 scénarios.
- A développé et validé plus de 110 requêtes SPL avancées pour la corrélation, la détection et l'investigation forensique, couvrant spearphishing, ransomware, insider threats, fraude e-commerce, attaques DPRK, DNS tunneling (analyse d'entropie Shannon), mouvements latéraux WMI, scénarios cloud (AWS S3/CloudTrail), cryptomining (Coinhive), exploitation web (Struts RCE) et compromission Office 365.
- A entraîné un agent d'apprentissage par renforcement (PPO) associé au Behavioral Cloning pour automatiser la sélection de requêtes d'investigation et l'alignement MITRE ATT&CK.
- A conçu et développé une interface de visualisation SOC (React/FastAPI/WebSocket) permettant de visualiser en temps réel les décisions de l'agent d'investigation.
- A réalisé des investigations complètes en environnement pratique : brute force SSH/RDP, DNS tunneling, élévation de privilèges, établissement de C2.
- A mis en place la corrélation d'événements multi-sources et rédigé des rapports d'incidents avec analyse des causes profondes et recommandations.
- A conduit des tests d'intrusion sur Active Directory et Linux, démontrant une maîtrise des attaques Kerberos (AS-REP Roasting, Kerberoasting) et des Linux Privilege Escalations (SUID abuse, sudo misconfiguration, CVE-2015-1328).
- A développé un pipeline de classification automatique (Nmap → feature engineering → Random Forest, F1-macro 0,83) pour automatiser la génération de rapports de remédiation, réduisant le temps d'analyse de 70 %.
Environnement technique
SplunkSPL avancéMITRE ATT&CKSysmonWinEventLogosqueryWiresharktcpdumpActive DirectoryAWS CloudTrailCloudWatchPythonFastAPIReactWebSocketTensorFlow/PyTorchscikit-learnRandom ForestPandasNmap