Piloter la feuille de route cybersécurité
Définir, chiffrer et suivre les chantiers de sécurité du système d'information et des applications SaaS, à partir des tests d'intrusion internes et externes.
17 projets 2023 → 2026
Projets
Chaque fiche dit d'où vient le projet : production (l'infrastructure réelle de l'entreprise où j'étais en alternance), homelab (mon laboratoire personnel), projet d'école ou étude de cas. Les plus récents sont en haut.
Période
Contexte
Thème
Liste des projets
Noyau Linux : rootkit, puis miniEDR en BPF-LSM
Quatre TP enchaînés à l'École 2600 : un Linux construit de zéro, deux appels système, un rootkit par hook ftrace, puis un miniEDR en eBPF qui surveille et emprisonne des processus.
17/17tests du miniEDR réussis sur l'image finale
Audit et durcissement Active Directory
Premier audit d'un annuaire jamais audité : SMBv1 retiré du contrôleur de domaine, krbtgt renouvelé après 11 ans, 169 objets obsolètes supprimés, sans coupure imprévue.
100 → 74score PingCastle « Anomalies »
Attaque d'un Active Directory (homelab)
Un Active Directory rendu vulnérable dans mon homelab, compromis d'un simple compte jusqu'au Golden Ticket, chaque étape reliée à sa détection et sa parade.
8étapes, d'un simple compte utilisateur au contrôle complet du domaine
Portail B2B en DMZ, noté A
Une application web métier exposée sur Internet : DMZ dédiée en /30, serveur hors domaine, supervision Wazuh avant l'ouverture, TLS noté A sur SSL Labs.
B → Anote SSL Labs après désactivation de TLS 1.0 et 1.1
Supervision réseau Zabbix + Grafana
Trois switches Cisco et UniFi supervisés en SNMP : 1 497 métriques toutes les 30 s, tableau de bord Grafana, alerte e-mail reçue en moins de 2 minutes.
1 497métriques collectées sur 3 switches (431 + 577 + 489)
Accès distant : d'OpenVPN à WireGuard
L'ancien VPN, hébergé sur le pare-feu, se dégradait au-delà de 3 connexions. WireGuard et Firezone sur une VM dédiée : un accès se crée en 2 min au lieu de 15.
15 → 2 minpour créer un accès, sans toucher au pare-feu
Audit de sécurité d'un environnement AWS
Laboratoire AWS mal configuré exprès, audité avec Prowler en trois scans : échecs critiques de 5 à 3, hauts de 20 à 14, sauvegardes immuables.
5 → 3échecs de gravité critique
Migration du cœur de réseau en 10 Gigabit
L'achat d'un switch devient un chantier de fond : cœur Cisco assaini, serveurs passés en 10G, incident STP résolu en production, 8,25 Gb/s entre VM.
8,25 Gb/siPerf3 entre deux VM, 4 flux en parallèle
SIEM durci et alertes enrichies par IA locale
Antivirus, audit Lynis et sauvegarde pour le serveur SIEM, puis un modèle de langage local qui explique en français chaque alerte critique.
3 lignesen français pour expliquer chaque alerte critique, puis une action
SOC Wazuh multicouche
Serveur SIEM Wazuh créé sur Hyper-V, puis trois couches de détection : machines, réseau avec Suricata, et un leurre qui alerte en moins de 30 secondes.
< 30 sentre une connexion au leurre et l'alerte de niveau 13
Cyber range : attaquer pour tester la détection
Dans mon homelab, une cible vulnérable en DMZ derrière un FortiGate : le scan agressif est détecté par le SIEM, l'exploitation Samba jusqu'au compte root passe inaperçue.
20+services exposés découverts sur la cible
Labos réseau du BTS : pfSense, DMZ, CARP, AD multi-site
Quatre labos d'école autour de pfSense : un LAN et sa panne DNS, une DMZ qui publie un serveur web, deux pare-feu en cluster CARP, puis un domaine réparti sur deux sites.
3zones séparées : WAN, LAN et DMZ
Sauvegarde des VM avec Veeam
Un job Veeam lancé chaque soir, 7 jours de rétention, copie sur disque externe : ma première sauvegarde de VM en production, et ses limites.
7 joursde points de restauration conservés
Réseau Cisco : VLAN, OSPF, HSRP
Un TP Cisco (VLAN, trunks, OSPF, DHCP) et sa panne, puis une architecture redondante conçue pour un client fictif : OSPF, HSRP, EtherChannel.
3VLAN dans le TP : administration, utilisateurs, services
Socle Active Directory : postes et second contrôleur
Une procédure de mise en service des postes dans le domaine, puis un second contrôleur sur Hyper-V, avec DNS répliqué et DHCP en basculement : fini le serveur unique.
1 → 2contrôleurs de domaine portant AD DS, DNS et DHCP
Migration du pare-feu : FortiGate → pfSense
La licence FortiGate coûtait trop cher : j'ai remplacé le pare-feu de la PME par un boîtier pfSense, préparé à l'écart du réseau en service, puis basculé pendant la pause déjeuner.
1 hde coupure, de 13 h à 14 h, pendant la pause déjeuner
Projet ONE : infrastructure de 3 bâtiments
Projet d'équipe : choisir les locaux techniques, câbler trois bâtiments, segmenter en VLAN et chiffrer le tout. J'y tenais le rôle d'architecte réseau.
90salariés répartis sur 3 bâtiments
En cours et à venir
Cycle ingénieur à l'École 2600 et alternance chez Recygo : chaque projet aura sa fiche dès qu'il pourra être présenté, sans rien de confidentiel.
Former et tester les collaborateurs
Sensibiliser toutes les équipes à la cybersécurité, puis mesurer les bons réflexes par des tests.
Écrire la gouvernance
Rédiger et tenir à jour le plan de continuité, le plan de reprise, le plan d'assurance sécurité et la politique de sécurité du SI.
Sécuriser les identités et les postes
Administrer et durcir la gestion des identités et la gestion unifiée des postes, dans un environnement Microsoft 365 et Azure.
Automatiser les processus métier
Piloter et réaliser des projets d'automatisation avec n8n, entre les applications de l'entreprise.