Analyser des malwares et investiguer les attaques avancées

En bref

Quand une attaque est détectée, il faut comprendre ce qui s’est réellement passé : par où l’attaquant est entré, ce qu’il a fait, ce qu’il a laissé derrière lui. Ce parcours de spécialisation porte sur ce travail d’investigation numérique, le forensic, sur des systèmes Windows et Linux.

Il aborde aussi l’analyse de malwares, jusqu’au reverse engineering, et la threat intelligence, qui permet de replacer un incident dans le paysage des menaces connues.

Dans une équipe de défense, c’est la suite du travail du SOC : là où l’analyste détecte, l’investigateur explique.

À qui s’adresse ce parcours ?

Notre lecture, établie à partir des fiches métiers Cyberskill. Ce ne sont pas les conditions d’admission de l’organisme, qui restent à vérifier auprès de lui.

• Analystes SOC qui veulent évoluer vers l’investigation et la réponse à incident.
• Administrateurs systèmes Windows ou Linux attirés par l’enquête technique.
• Professionnels de la sécurité qui veulent comprendre le fonctionnement interne du code malveillant.

Parcours voisins à comparer

• Détecter et répondre aux incidents (SOC / SIEM)Pour commencer par la détection avant l’investigation approfondie.

Ce que vous allez apprendre

Les compétences ci-dessous reprennent, en les reformulant, les thèmes annoncés par l’organisme.

• Mener une investigation sur un système Windows.
• Mener une investigation sur un système Linux.
• Analyser le comportement d’un malware.
• Aborder le reverse engineering de code malveillant.
• Mobiliser la threat intelligence pour contextualiser un incident.

Programme

Type de parcours

Spécialisation

Durée totale

20 jours

Niveau 1

12 j

Niveau 2

8 j

Les grands axes du parcours, en synthèse et sans ordre chronologique :

1. Investigation Windows et Linux

   Collecter et interpréter les traces laissées sur les systèmes.

2. Analyse de malwares

   Comprendre ce que fait un programme malveillant une fois installé.

3. Reverse engineering

   Descendre au niveau du code pour lire ce que le malware dissimule.

4. Threat intelligence

   Relier les observations à des acteurs et à des modes opératoires connus.

Synthèse rédigée par Cyberskill. Le déroulé détaillé, module par module, les modalités et les conditions d’accès relèvent de l’organisme.

Débouchés et métiers associés

• Débouché directAnalyste réponse à incidentLe métier où l’investigation se pratique au quotidien, le plus souvent après une première expérience opérationnelle.→
• Étape d’une trajectoireAnalyste de la menace cyberLa part consacrée à la threat intelligence en pose des bases ; le métier se construit ensuite par la pratique et la veille.→
• Étape d’une trajectoireResponsable CSIRTUn poste d’expérience, qui repose sur des années de réponse à incident.→

Guides utiles

• ActualitéMISP : quand l'outil de Threat Intelligence devient la cibleLe CERT-FR a publié le 14 septembre 2026 un avis couvrant une vingtaine de vulnérabilités dans MISP. L'occasion d'examiner une question rarement posée : qui surveille les outils qui surveillent, et que vaut une plateforme de renseignement dont l'intégrité n'est plus garantie ?→
• ActualitéRansomware en 2026 : ce que montrent les chiffres128 compromissions par rançongiciel portées à la connaissance de l’ANSSI en 2025, PME et santé en première ligne, extorsion sans chiffrement : ce que disent réellement les chiffres français, et ce qui réduit le risque.→
• GuidePremier lab cybersécurité avec ProxmoxUn environnement complet, isolé et réversible, monté chez vous — la preuve de compétence la plus convaincante que puisse présenter un candidat en reconversion.→