Réalisations en centre de formation

Pourquoi cette mise en place

Active Directory est la colonne vertébrale d’un système d’information Windows : il centralise l’authentification, structure les objets (utilisateurs, postes, groupes) et prépare l’application des stratégies de groupe et des droits d’accès.

Objectifs

• Installer et promouvoir un contrôleur de domaine
• Organiser l’annuaire en unités d’organisation cohérentes
• Déléguer l’administration selon le principe du moindre privilège

Mise en œuvre

1. Installation du rôle AD DS sur Windows Server 2022
2. Promotion en contrôleur de domaine et création du domaine dorian.lan
3. Création des unités d’organisation : Admins, Utilisateurs, Ordinateurs, Service Pro
4. Création des comptes et des groupes de sécurité
5. Délégation de droits d’administration par unité d’organisation
6. Jonction d’un poste Windows 10 au domaine et test d’ouverture de session

Compétences validées

• Gérer le patrimoine informatique — Mettre en place et vérifier les niveaux d’habilitation associés à un service : unités d’organisation, groupes de sécurité et délégation de l’administration selon le moindre privilège.
• Mettre à disposition des utilisateurs un service informatique — Déployer un service et réaliser les tests d’intégration : promotion du contrôleur de domaine, puis jonction d’un poste et test d’ouverture de session.

Pourquoi cette mise en place

Configurer trente postes à la main n’a pas de sens. Les stratégies de groupe appliquent en masse paramètres, restrictions et ressources ; couplées à un partage sur le serveur, elles standardisent l’environnement de travail.

Objectifs

• Industrialiser la configuration des postes
• Sécuriser le partage de ressources
• Appliquer le principe du moindre privilège

Mise en œuvre

1. Création d’un dossier partagé sur le serveur
2. Réglage des permissions de partage et NTFS au plus juste
3. Création d’une GPO liée à une unité d’organisation
4. Mappage automatique d’un lecteur réseau par préférence de GPO
5. Application de paramètres système (fond d’écran, restrictions)
6. Vérification sur le poste avec gpupdate /force puis gpresult /r

Compétences validées

• Gérer le patrimoine informatique — Mettre en place et vérifier les niveaux d’habilitation : permissions de partage et NTFS réglées au plus juste ; vérifier le respect des règles d’utilisation des ressources numériques : restrictions appliquées aux postes par GPO.
• Mettre à disposition des utilisateurs un service informatique — Déployer un service et réaliser les tests d’intégration : lecteur réseau mappé automatiquement, application contrôlée avec gpupdate et gpresult.

Pourquoi cette mise en place

Installer Windows sur vingt postes depuis un support d’installation prend des jours. Avec FOG, une image maître est capturée une fois puis redéployée en quelques minutes par le réseau : c’est la base du déploiement industrialisé.

Objectifs

• Réduire le temps de déploiement des postes
• Disposer d’une image maître maintenable
• Comprendre la chaîne PXE, TFTP et DHCP

Mise en œuvre

1. Installation de FOG sur une Debian 13 disposant d’une pile LAMP
2. Configuration du DHCP (options 66 et 67) pour le démarrage PXE
3. Capture d’une image maître depuis un poste Windows 10 de référence
4. Déploiement de l’image sur un poste cible par démarrage réseau
5. Suivi des tâches depuis l’interface web et changement des identifiants par défaut
6. Rédaction de la procédure de capture et de déploiement

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : serveur FOG et chaîne de démarrage réseau (DHCP options 66 et 67, TFTP) ; réaliser les tests d’intégration : déploiement de l’image maître sur un poste cible.

Pourquoi cette mise en place

Une machine virtuelle est un ensemble de fichiers : on peut donc la sauvegarder, la cloner et la restaurer. Maîtriser ce cycle de vie est un prérequis à toute administration sérieuse et à tout plan de reprise.

Objectifs

• Maîtriser le cycle de vie d’une VM
• Produire un gabarit réutilisable
• Disposer d’une restauration testée et documentée

Mise en œuvre

1. Création de la VM (8 Go de RAM, 4 vCPU, disque SSD virtuel) et installation de Windows 10
2. Extension de la partition réservée au système avec MiniTool Partition Wizard
3. Création d’une image système depuis « Sauvegarder et restaurer »
4. Restauration de l’image sur un nouveau disque via l’environnement de récupération
5. Clonage de la VM pour obtenir un modèle de déploiement

Compétences validées

• Gérer le patrimoine informatique — Gérer des sauvegardes : création d’une image système, puis restauration testée sur un nouveau disque via l’environnement de récupération.

Pourquoi cette mise en place

pfSense réunit dans une seule appliance le filtrage à états, le routage, la traduction d’adresses, le DHCP et le relais DNS. Sa configuration impose de réfléchir d’abord aux flux autorisés, avant de cliquer.

Objectifs

• Installer pfSense et configurer les interfaces
• Mettre en place le routage et le NAT sortant
• Filtrer les flux selon une politique explicite

Mise en œuvre

1. Installation de pfSense sur une machine virtuelle à deux interfaces
2. Affectation des interfaces WAN et LAN et adressage
3. Assistant de configuration initiale et changement du mot de passe administrateur
4. Configuration du serveur DHCP côté LAN
5. Création des règles de pare-feu et vérification du NAT sortant
6. Tests de connectivité et de blocage depuis un poste client

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : pare-feu pfSense assurant routage, NAT sortant et DHCP côté LAN ; réaliser les tests d’intégration : tests de connectivité et de blocage depuis un poste client.

Pourquoi cette mise en place

La résolution DNS est la première étape de toute connexion. La contrôler permet de bloquer un domaine malveillant avant même l’ouverture de la connexion réseau.

Objectifs

• Administrer un serveur DNS BIND9
• Filtrer les domaines malveillants au niveau DNS
• Intégrer des flux de renseignement sur les menaces

Mise en œuvre

1. Installation et configuration de BIND9 sur Debian
2. Création des zones internes
3. Configuration des Response Policy Zones
4. Téléchargement automatique des flux URLhaus et ThreatFox par tâche planifiée
5. Redirection des domaines listés vers un sinkhole
6. Journalisation des réécritures pour l’audit

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : serveur BIND9 avec zones RPZ alimentées automatiquement par URLhaus et ThreatFox ; réaliser les tests d’intégration : résolution d’un domaine listé réécrite vers le sinkhole et journalisée.

Pourquoi cette mise en place

Héberger soi-même un site plutôt que de passer par un service tiers, c’est maîtriser chaque couche : système, serveur web, base de données et application.

Objectifs

• Maîtriser la pile LAMP de bout en bout
• Séparer web, base et application
• Mettre en ligne un site administrable

Mise en œuvre

1. Installation d’Apache, PHP 8.4 et MariaDB
2. Sécurisation de MariaDB avec mysql_secure_installation
3. Création d’une base dédiée et d’un compte applicatif aux droits limités
4. Déploiement de WordPress et réglage des droits de fichiers
5. Configuration du virtual host et assistant d’installation
6. Vérification du service et documentation

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : pile LAMP, base dédiée et compte applicatif aux droits limités, virtual host ; réaliser les tests d’intégration : vérification du service après l’assistant d’installation.

Pourquoi cette mise en place

Le projet GSB, mené en équipe, s’appuie sur trois serveurs de bases de données. Chacun doit être configuré de façon identique, avec des droits centralisés plutôt qu’attribués compte par compte.

Objectifs

• Configurer trois serveurs de manière identique
• Centraliser les droits par un rôle
• Ouvrir l’accès distant de façon maîtrisée

Mise en œuvre

1. Vérification du service et exécution de mysql_secure_installation
2. Création du rôle admin_role et des droits associés
3. Création des comptes administrateurs nominatifs et du compte étudiant
4. Attribution du rôle et activation par défaut
5. Ouverture de l’écoute réseau et tests de connexion depuis les postes

Compétences validées

• Gérer le patrimoine informatique — Mettre en place et vérifier les niveaux d’habilitation associés à un service : rôle admin_role, comptes nominatifs et droits centralisés plutôt qu’attribués compte par compte.
• Mettre à disposition des utilisateurs un service informatique — Déployer un service : trois serveurs configurés à l’identique ; réaliser les tests d’intégration : tests de connexion à distance depuis les postes.

Pourquoi cette mise en place

On ne gère pas ce qu’on ne mesure pas. GLPI donne une vue complète du parc matériel et logiciel et outille le support avec un vrai suivi des demandes.

Objectifs

• Disposer d’un inventaire automatique et fiable
• Outiller le support avec des tickets
• Maîtriser entités, profils et droits

Mise en œuvre

1. Installation de GLPI sur une pile LAMP
2. Création des entités, profils et utilisateurs
3. Déploiement de l’agent GLPI sur les postes (paquet MSI)
4. Remontée automatique de l’inventaire matériel et logiciel
5. Configuration des catégories de tickets et des SLA

Compétences validées

• Gérer le patrimoine informatique — Recenser et identifier les ressources numériques : inventaire matériel et logiciel remonté automatiquement par l’agent GLPI.
• Répondre aux incidents et aux demandes d’assistance et d’évolution — Collecter, suivre et orienter des demandes : module de tickets, catégories et délais de traitement (SLA).
• Mettre à disposition des utilisateurs un service informatique — Déployer un service : installation de GLPI, entités, profils et utilisateurs.

Pourquoi cette mise en place

Suricata inspecte chaque paquet. En mode inline, il ne se contente pas d’alerter : il bloque activement les flux correspondant à une signature.

Objectifs

• Inspecter le trafic en temps réel
• Bloquer activement les intrusions
• Exploiter des signatures à jour

Mise en œuvre

1. Installation de Suricata sur Debian
2. Passage en mode IPS inline via NFQUEUE et nftables
3. Intégration des règles Emerging Threats
4. Test de détection : un scan Nmap doit être bloqué
5. Journalisation au format EVE JSON
6. Ajustement des règles pour réduire les faux positifs

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : Suricata en mode IPS inline (NFQUEUE, nftables) avec les règles Emerging Threats ; réaliser les tests d’intégration : un scan Nmap est bloqué et journalisé.

Pourquoi cette mise en place

CrowdSec analyse les journaux pour repérer des comportements hostiles et partage une liste de blocage alimentée par sa communauté.

Objectifs

• Détecter automatiquement les comportements hostiles
• Bannir les IP malveillantes
• Profiter du renseignement communautaire

Mise en œuvre

1. Installation de CrowdSec et des collections linux, http et sshd
2. Activation des scénarios de détection
3. Mise en place du bouncer nftables
4. Inscription à la liste de blocage communautaire
5. Test : une force brute SSH entraîne le bannissement de l’IP
6. Suivi avec cscli et la console web

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : CrowdSec, scénarios de détection et bouncer nftables ; réaliser les tests d’intégration : une force brute SSH entraîne le bannissement de l’adresse.

Pourquoi cette mise en place

Un SOC repose sur la centralisation des journaux : sans vue d’ensemble, un incident passe inaperçu. Wazuh collecte, corrèle et alerte à partir d’agents installés sur chaque hôte.

Objectifs

• Centraliser les journaux de tous les hôtes
• Détecter les anomalies par corrélation
• Automatiser certaines réponses

Mise en œuvre

1. Déploiement du manager, de l’indexer OpenSearch et du dashboard
2. Installation d’agents sur les machines surveillées
3. Activation des règles de détection et du contrôle d’intégrité (FIM)
4. Création de règles adaptées au contexte du lab
5. Configuration de l’Active Response sur les règles critiques

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : manager, indexer et tableau de bord Wazuh, agents installés sur les hôtes surveillés, règles de détection et contrôle d’intégrité activés.

Pourquoi cette mise en place

Superviser, c’est voir venir l’incident : seuils, tendances et historiques permettent d’agir avant la coupure plutôt qu’après.

Objectifs

• Superviser disponibilité et performances
• Anticiper les pannes par des seuils
• Historiser les métriques

Mise en œuvre

1. Installation du serveur Zabbix et de sa base
2. Déploiement de l’agent 2 sur chaque hôte
3. Application des modèles (CPU, mémoire, disque, services)
4. Définition des déclencheurs (CPU > 80 %, disque > 90 %)
5. Configuration des alertes et tableaux de bord

Compétences validées

• Gérer le patrimoine informatique — Vérifier les conditions de la continuité d’un service informatique : supervision de la disponibilité et déclencheurs sur le processeur et le disque pour agir avant la panne.
• Mettre à disposition des utilisateurs un service informatique — Déployer un service : serveur Zabbix, agents sur chaque hôte, modèles, alertes et tableaux de bord.

Pourquoi cette mise en place

Déployer huit agents à la main, c’est des heures et des erreurs. Un playbook idempotent s’exécute en quelques minutes et produit toujours le même résultat.

Objectifs

• Industrialiser le déploiement des agents
• Garantir l’idempotence
• Versionner les configurations

Mise en œuvre

1. Mise en place du nœud de contrôle et de l’inventaire YAML
2. Écriture des playbooks de déploiement des agents
3. Découpage en rôles réutilisables
4. Test sur un environnement de développement puis exécution
5. Versionnage dans un dépôt Git

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : agents Wazuh, Zabbix et CrowdSec déployés par playbooks idempotents ; réaliser les tests d’intégration : exécution validée sur un environnement de développement avant le déploiement.

Pourquoi cette mise en place

Un bastion centralise les accès d’administration : plus aucune connexion directe vers les serveurs, tout passe par un point unique et journalisé.

Objectifs

• Centraliser et tracer les accès d’administration
• Bloquer l’accès SSH hors bastion
• Éviter les clients lourds

Mise en œuvre

1. Déploiement de Guacamole sur Tomcat derrière un reverse proxy Nginx en HTTPS
2. Configuration des connexions SSH et RDP
3. Filtrage nftables : SSH autorisé uniquement depuis le bastion
4. Gestion des utilisateurs et des groupes
5. Journalisation des sessions

Compétences validées

• Gérer le patrimoine informatique — Mettre en place et vérifier les niveaux d’habilitation associés à un service : utilisateurs et groupes du bastion, SSH autorisé uniquement depuis le bastion, sessions journalisées.
• Mettre à disposition des utilisateurs un service informatique — Déployer un service : Guacamole derrière un reverse proxy HTTPS, connexions SSH et RDP depuis le navigateur.

Pourquoi cette mise en place

Pour suivre le matériel et les interventions, il faut une source de vérité unique. GLPI centralise l'inventaire ; son agent le tient à jour sans saisie manuelle.

Objectifs

• Centraliser les informations du parc
• Automatiser la remontée d'inventaire
• Tracer les interventions

Mise en œuvre

1. Préparation d’un serveur Debian 13 avec Apache, PHP et MariaDB
2. Déploiement et configuration de GLPI
3. Installation de l’agent sur les postes et paramétrage du serveur cible
4. Lancement de l’inventaire et contrôle des équipements remontés
5. Validation du fonctionnement et documentation

Technologies

• GLPI
• GLPI Agent
• Debian 13
• Apache
• MariaDB

Compétences validées

• Gérer le patrimoine informatique — Recenser et identifier les ressources numériques : inventaire remonté par l’agent et contrôle des équipements dans GLPI.
• Mettre à disposition des utilisateurs un service informatique — Déployer un service : GLPI sur Debian 13 et agent sur les postes ; réaliser les tests d’intégration : validation du fonctionnement après le premier inventaire.

Pourquoi cette mise en place

Les stratégies de groupe permettent d'administrer de manière centralisée les postes et les utilisateurs d'un domaine, au lieu d'intervenir poste par poste.

Objectifs

• Créer une stratégie de groupe
• Appliquer une configuration centralisée
• Vérifier son application effective

Mise en œuvre

1. Création de la GPO dans la console de gestion
2. Configuration des paramètres
3. Liaison à l’unité d’organisation concernée
4. Actualisation des stratégies sur un poste client
5. Contrôle avec gpresult

Technologies

• Windows Server
• Active Directory
• GPO

Compétences validées

• Mettre à disposition des utilisateurs un service informatique — Déployer un service : stratégie de groupe créée et liée à l’unité d’organisation ; réaliser les tests d’intégration : application contrôlée sur un poste client avec gpresult.

Pourquoi cette mise en place

Une sauvegarde n'a de valeur que si on sait la restaurer. En cas de perte, d'erreur ou d'incident, la procédure doit être rapide, sûre et reproductible.

Objectifs

• Restaurer les données nécessaires
• Limiter l'interruption de service
• Vérifier l'intégrité du résultat

Mise en œuvre

1. Identification du besoin et de la sauvegarde adaptée
2. Vérification du point de restauration
3. Lancement de la restauration
4. Contrôle des données restaurées
5. Validation du fonctionnement avec l’utilisateur

Technologies

• Sauvegarde
• Restauration
• Windows

Compétences validées

• Gérer le patrimoine informatique — Gérer des sauvegardes : choix du point de restauration adapté, restauration puis contrôle de l’intégrité des données restaurées.