Enseigner le threat hunting dans un cours de cybersécurité : méthode et plan de module

Le threat hunting est l'une des compétences les plus recherchées par les équipes de sécurité opérationnelle. Pourtant, il reste rare dans les cursus académiques : trop avancé pour les débutants, souvent confondu avec la détection automatisée ou la threat intelligence, et difficile à enseigner sans un environnement lab adapté.

Ce guide propose une méthode complète pour intégrer le threat hunting dans un module de 20 heures, avec le plan détaillé, les outils, un exercice fil rouge sur une APT fictive, et une grille d'évaluation. Il s'adresse aux enseignants de M1/M2 cybersécurité et aux formateurs de parcours SOC avancés.

Threat hunting : définition et positionnement dans un cursus

Ce que le threat hunting n'est pas

Avant d'enseigner ce que le threat hunting est, il faut clarifier ce qu'il n'est pas, car les confusions sont fréquentes même chez les professionnels :

• Ce n'est pas de la détection automatisée : les règles SIEM et les alertes de l'EDR cherchent des patterns connus. Le hunting cherche des menaces inconnues ou qui contournent les règles existantes.
• Ce n'est pas de la réponse à incident : l'investigation forensique démarre après qu'une alerte a été déclenchée. Le hunting est proactif : il commence avant qu'une alerte existe.
• Ce n'est pas de la threat intelligence : la threat intelligence produit des connaissances sur les adversaires. Le hunting utilise ces connaissances comme hypothèses de départ.

La définition opérationnelle

Le threat hunting est une activité proactive et itérative qui consiste à :

1. Formuler une hypothèse (ex. : « un attaquant utilisant T1059 — Command and Scripting Interpreter pourrait être présent dans notre environnement »)
2. Chercher des preuves de confirmation ou d'infirmation dans les données de log disponibles
3. Affiner l'hypothèse ou escalader vers la réponse à incident si une menace est confirmée

Ce cycle hypothèse-recherche-validation est ce que les étudiants doivent intérioriser. Le MITRE ATT&CK est l'outil structurant qui permet de formuler des hypothèses ancrées dans les comportements adversariaux documentés.

Positionnement dans le cursus

Le threat hunting s'enseigne après :

• Un module analyse SOC couvrant la lecture de logs (Windows Event Logs, Syslog, logs réseau)
• Un module threat intelligence couvrant MITRE ATT&CK, les IOCs et les TTPs
• Une introduction aux SIEM (requêtes de base sur Elastic ou Splunk)

Il précède ou s'intègre à :

• Le cours de réponse à incident (le hunting peut déclencher une investigation)
• Les modules de red team/purple team (pour comprendre les traces laissées par les attaquants)

Prérequis nécessaires avant d'aborder le threat hunting

Prérequis techniques

Prérequis conceptuels

Les étudiants doivent comprendre la différence entre un indicateur de compromission (IOC) et un indicateur d'attaque (IOA). Cette distinction est centrale en threat hunting :

• Un IOC (hash de malware, IP de C2) est statique et facilement contournable par les attaquants modernes.
• Un IOA (comportement : processus enfant inattendu d'un processus légitime, appel WMI inhabituel) est lié au comportement et plus difficile à éviter.

Le hunting moderne se concentre principalement sur les IOA et les TTPs de MITRE ATT&CK, pas sur les IOCs classiques.

Plan de module sur 20 heures

Le module se découpe en quatre phases progressives :

Phase 1 — Fondamentaux (6 heures)

Séance 1 (3h) : Le cycle de hunting

• Hypothèse, chasse, analyse, documentation
• Introduction à ATT&CK Navigator : comment utiliser les couches pour prioriser les hypothèses
• Lab guidé : navigation dans ATT&CK, identification de 5 techniques pertinentes pour un environnement Windows d'entreprise fictif

Séance 2 (3h) : Sources de données et collecte

• Windows Event Logs : quels IDs logger, pourquoi, avec quel niveau de verbosité
• Sysmon : installation, configuration, apport pour le hunting
• Introduction à Elastic Stack ou Wazuh : ingestion de logs, création d'index, requêtes de base
• Lab guidé : ingestion d'un jeu de logs fourni, premières requêtes de comptage et de filtrage

Phase 2 — Techniques avancées (8 heures)

Séance 3 (4h) : Hypothèses basées sur ATT&CK

• Méthode PEAK (Prepare, Execute, Act on Knowledge) ou équivalent pour structurer une chasse
• Techniques ATT&CK fréquentes en environnement Windows : T1059 (scripting), T1078 (valid accounts), T1053 (scheduled tasks), T1086 (PowerShell)
• Lab : formulation de 3 hypothèses à partir d'ATT&CK Navigator, écriture des requêtes correspondantes sur le SIEM de lab

Séance 4 (4h) : Détection comportementale

• Sigma Rules : syntaxe, conversion vers Elasticsearch/Splunk, création d'une règle custom
• Détection de living-off-the-land (LOLBins) : techniques qui abusent d'outils légitimes (certutil, mshta, regsvr32)
• Lab : convertir 3 règles Sigma en requêtes Kibana, tester sur un jeu de logs contenant les techniques ciblées

Phase 3 — Exercice fil rouge (4 heures)

Chasse sur une APT fictive — décrit en détail dans la section suivante.

Phase 4 — Synthèse et évaluation (2 heures)

Séance finale :

• Retour collectif sur les hunts réalisés (ce qui a fonctionné, ce qui a manqué)
• Discussion sur la gestion des faux positifs et l'arbitrage documentation / escalade
• Présentation des certifications orientées SOC avancé : SANS GCIH pour l'investigation, BTL1 pour l'analyse de logs
• Remise des rapports individuels de hunting

Outils et plateformes pour enseigner le threat hunting

Stack minimale recommandée

La stack Wazuh + Elastic est la recommandation par défaut pour les labs scolaires : elle couvre la collecte, l'indexation et la visualisation sans contrainte de volume. Consultez le guide sur le déploiement d'un SIEM Wazuh en lab pédagogique pour la mise en place technique détaillée.

Jeux de données pour les labs

Les étudiants ont besoin de données d'entraînement réalistes sans exposer de vrais logs d'entreprise. Plusieurs sources fournissent des jeux de logs synthétiques :

• EVTX Samples : collections de logs Windows Event sur GitHub (rechercher "evtx malware samples")
• BOTS (Boss of the SOC) : dataset Splunk contenant des scénarios d'attaque
• MORDOR (devenu Security Datasets) : jeux de données d'attaques simulées organisés par technique ATT&CK

Ces datasets permettent de créer des labs réalistes sans générer de trafic malveillant réel dans l'infrastructure de l'établissement.

Exercice fil rouge : chasser une APT fictive (plan de cas pratique)

L'exercice fil rouge est le cœur du module. Il occupe 4 heures et met les étudiants en situation de threat hunter qui reçoit un briefing de renseignement et doit déterminer si l'organisation (fictive) a été compromise.

Briefing initial (10 min)

Le formateur distribue un document d'une page décrivant :

• L'organisation cible (PME fictive, secteur défense civile, 200 employés, infrastructure Windows AD)
• L'adversaire : un groupe APT fictif utilisant les techniques T1566.001 (spear-phishing avec pièce jointe), T1059.001 (PowerShell), T1078 (utilisation de comptes légitimes), T1071.001 (communication C2 sur HTTP/HTTPS)
• Le contexte : une alerte de menace d'un partenaire CERT signale que ce groupe cible des PME du secteur depuis 3 semaines

Données disponibles (artefacts du lab)

Les étudiants reçoivent un dataset de 72 heures de logs contenant :

• Windows Security Event Logs (authentifications, création de processus)
• Sysmon logs (exécutions, connexions réseau, création de fichiers)
• DNS logs du résolveur interne
• Logs HTTP du proxy de sortie

Le dataset contient une chaîne de compromission complète simulée, disséminée parmi un volume de trafic légitime réaliste.

Déroulé de l'exercice (3h30)

Étape 1 — Formulation des hypothèses (30 min)

Chaque étudiant (ou binôme) consulte ATT&CK Navigator et formule 3 à 5 hypothèses de chasse basées sur les techniques de l'APT fictive. Format attendu :

« Si l'attaquant a utilisé T1059.001 (PowerShell), je m'attends à trouver des Event ID 4688 avec powershell.exe en parent process inhabituel, avec des arguments de ligne de commande contenant -enc ou -nop. »

Étape 2 — Exécution des hunts (2h)

Les étudiants rédigent et exécutent leurs requêtes sur le SIEM de lab. Ils documentent chaque résultat : nombre de hits, faux positifs identifiés, éléments pertinents.

Le formateur circule et joue le rôle de « manager SOC » : disponible pour des questions de méthode, mais ne donne pas les réponses. Il peut introduire des red herrings (anomalies intentionnelles non liées à l'APT) pour forcer les étudiants à justifier leurs conclusions.

Étape 3 — Validation et rapport (60 min)

Les étudiants rédigent un rapport de hunting structuré. Format :

Étape 4 — Restitution collective (30 min)

Chaque groupe présente en 5 minutes : hypothèses formulées, cheminement, conclusions. Le formateur révèle la chaîne de compromission complète et chaque groupe voit ce qu'il a trouvé, manqué et pourquoi.

Cette restitution collective est le moment pédagogique le plus important : les étudiants comprennent que le hunting est un processus itératif où les techniques manquées sont autant d'enseignements que les techniques trouvées.

Tableau des hypothèses de hunting (référence pédagogique)

Évaluation du module

Critères et pondération

L'évaluation porte sur le rapport de hunting final, en deux parties :

Partie 1 — Rapport de hunting (60 %)

• Qualité des hypothèses formulées (ancrées dans ATT&CK, pertinentes au scénario) : 20 %
• Exactitude des requêtes (syntaxe, logique, couverture) : 20 %
• Rigueur de la documentation (preuves, faux positifs identifiés, conclusion) : 20 %

Partie 2 — Argumentation orale (40 %)

Défense de 10 minutes devant le formateur :

• Justification du choix des hypothèses : 15 %
• Explication des requêtes et de leurs limites : 15 %
• Réponse aux contre-questions du formateur : 10 %

Niveaux de réussite

Ce qu'il faut retenir

Enseigner le threat hunting demande une préparation minutieuse, mais produit des compétences directement transférables en entreprise. Les points essentiels à retenir :

• Le threat hunting s'enseigne après un solide module SOC et threat intelligence. Sans ces bases, les exercices restent superficiels.
• Le cycle hypothèse-recherche-validation est la compétence centrale. MITRE ATT&CK est le cadre structurant, pas une fin en soi.
• Un SIEM complet n'est pas indispensable : Elastic Stack, Wazuh ou Splunk Free suffisent pour les labs pédagogiques.
• L'exercice fil rouge sur APT fictive est le moment de synthèse le plus formateur. La restitution collective, où chaque groupe apprend des manqués des autres, est irremplaçable.
• La documentation est une compétence évaluée au même titre que les requêtes. Un hunt non documenté n'existe pas pour l'organisation.
• Les faux positifs s'enseignent, pas seulement les vrais positifs : apprendre à justifier un non-incident est aussi formateur qu'identifier un incident réel.

Le métier de threat hunter figure parmi les plus demandés et les mieux rémunérés des équipes SOC avancées. Former les étudiants à cette pratique, c'est leur ouvrir des débouchés directs dans les grandes entreprises et les MSSP.

Vous cherchez un intervenant spécialisé en threat hunting ou en analyse SOC avancée pour vos étudiants de master ou vos équipes de formation continue ?

Cyber Teachers vous connecte avec des practitioners actifs, capables d'animer des modules de threat hunting ancrés dans la réalité opérationnelle.