Jour 1 Jour 2 Jour 3
Sessions plénières Sessions éclatées Sessions éclatées
• Réunion Fermée des • Ateliers de formations
Membres
• Table Ronde :
• Ateliers de formations
AGENDA
Jour 1 : 24 juillet (UTC+1) – Sessions Plénières
08:00 – 09:00 Inscription et Test de connexion pour les participants virtuels
09:00 – 10:00 Cérémonie d’ouverture (Allocutions Autorités Nigériennes + AfricaCERT)
10:00 – 10:30 GROUP PHOPTO AND TEA/COFFEE BREAK
10:30 – 11:00 Gestion de la sécurité opérationnelle avec des outils
Session pour les décideurs : open source
11:00 – 11:30 Cybersécurité et prise de décision : Modern Internet Standards and Enhancing
Gestion d’une crise d’attaque massive Cybersecurity (online)
11:30 – 12:00 et coordonnée contre des Building a SOC using Private AI and Open-Source
infrastructures nationales critique Tools
12:00 – 12:30 Maturité des SOC
12:30 – 14:00 LUNCH BREAK
14:00 – 14:30 Panel: Cybersecuity Standards and Introducing AfricaCERT Standard framework
14:30 – 15:00 Rapport AfricaCERT cybersécurité de l’Afrique
Room 1 Room 2 Room 3
15:00 – 15:30 La Purple Team : pilier d'une OT Security Effective Cloud Security
gouvernance cyber proactive et Strategies
résiliente en Afrique
15:30 – 16:00 Coffee Break
16:00 – 16:30 Challenges and Opportunities for La sécurité de Roundtable: Governance of
African Companies in a unique and l'écosystème et de Digital Evidence by African
evolving data protection landscape: l'infrastructure du Courts
The Role of the DPO Système des Noms LEA officers
de Domaine (DNS)
16:30 - 17:00 Lutte contre la désinformation à Cybersecurity Skills
travers les réseaux sociaux Development:
Experiential
Learning for the
Modern Professional
17:00 – 17:30 Considération de cybersécurité dans la préparation d’un évènement national : Retour
d’expérience
17:30 – 17:45 CLOTURE
20:00 – 23:00 EVENEMENT SOCIAL
Jour 2 : 25 juillet (UTC+1)
08:00 – 09:00 Test de connexion pour les participants virtuels
09:00 – 09:30 Introduction and Adoption de l’Agenda
09:30 – 10:00 Implementing UN Norms
10:00 – 10:30 GROUP PHOPTO AND TEA/COFFEE BREAK
Room 1 (AfricaCERT Room 2 Room 3
Meeting)
10:30 – 11:00 La cybersécurité dans la Tr1: Building an effective Tr2 : Quatre piliers essentiels
Fintech Cyber Incident Response d’un Security Operations
11:00 – 11:30 Team (by CERT MU) Center :
Concepts & opérations du SOC,
11:30 – 12:00 Renseignement sur les menaces
(TI), Méthodologie de threat
12:00 – 12:30 hunting, Digital Forensics
12:30 – 14:30 LUNCH BREAK
14:30 – 16:00 Etat des lieux (Statuts des Tr1 (cont’d) Tr2 (cont’d)
16:00 – 16:30 Pays participants, Stratégies
de cybersécurité, Travaux
Standardisation, Perpsectives,
financements)
Members only
16:30 – 16:00 End of day 2 : Wrap up
Jour 3 : 26 juillet (UTC+1)
08:00 – 09:00 Registration
Room 1 Room 2 Room 3
09:00 – 10:00 Cyber-enquête en entreprise : Tr1 (cont’d) Live Hacking Demo - Breaking
10:00 – 11:00 Investigation forensique sur & Securing Web Applications
11:00 – 12:00 un réseau compromis » vous
trouverez également le plan
de la formation ci-joint.
12:00 – 14:00 LUNCH BREAK
14:00 – 15:00 Tr1 (cont’d) CTF
15:00 – 16:00
16:00 – 16:30 End of day 3 : Wrap up
Plan Formation Hands-on – Investigation Forensic (8h)
1. Introduction & Impact (15-20 min)
[Link] :
o Une entreprise internationale du secteur industriel découvre une activité suspecte
sur son réseau interne.
o Plusieurs fichiers confidentiels sont exfiltrés vers des serveurs externes.
o L’équipe de sécurité constate qu’un nouvel utilisateur inconnu a été créé sur une
machine.
o Des tentatives d’accès à l’Active Directory sont détectées.
o Les dirigeants s’inquiètent d’une potentielle fuite de secrets industriels ou de
données clients.
[Link] métier :
o Risque de perte de propriété intellectuelle
o Risque financier lié à l’interruption d’activité ou au chantage
o Risque réputationnel si la fuite devient publique
o Possibles sanctions réglementaires (RGPD, lois locales)
o Coûts d’investigation et de remédiation
[Link] donnés à l’équipe d’investigation :
o Identifier le point d’entrée de l’attaque
o Découvrir comment l’attaquant a opéré
o Évaluer l’étendue de la compromission
o Fournir des preuves techniques pour actions correctives
o Produire une liste d’indicateurs de compromission (IoC)
2. Mise en place de l’environnement de Lab (45 min)
2.1.Vérification des prérequis :
o VM AD compromise (logs extraits fournis)
o VM Windows compromise (image disque fournie)
o VM d’analyse (Windows ou Linux)
[Link] / configuration des outils :
o FTK Imager
o Autopsy
o Hayabusa
o Loki YARA Scanner
o Kuiper
o Hoarder DFIR
o Procmon
o OllyDbg
• Montage de l’image disque dans Autopsy
[Link]-on #1 :
• Monter l’image disque dans Autopsy
• Vérifier l’accès à tous les outils
3. Étape 1 – Investigation sur l’Active Directory (1h)
[Link] des logs AD avec Hayabusa
• Scanner les logs Security / Sysmon / Directory Services :
o Création de comptes suspects
o Mouvements latéraux :
§ Pass-the-Hash
§ Pass-the-Ticket
§ Remote WMI
§ Remote PSExec
o Suspicious Kerberos requests
• Identifier la machine d’où part le mouvement latéral → patient zéro
[Link]-on #2.1 :
• Scanner les EVTX avec Hayabusa
• Isoler l’IP ou le hostname source
[Link] de persistance AD avec Loki
• Vérifier présence de :
o Mimikatz artefacts
o Scripts PowerShell suspects
o Binaries ou DLL inconnues dans SYSVOL ou Netlogon
[Link]-on #2.2 :
• Scanner SYSVOL et Netlogon avec Loki
• Noter les IoCs détectés
Résultat étape 1 :
• Identification de la machine source du mouvement latéral (patient zéro)
• Vérification de l’absence d’implants persistants sur l’AD
4. Étape 2 – Investigation sur le patient zéro (1h30)
[Link] initiale avec Hoarder DFIR
• Lancer la collecte :
o Registry Hives
o Scheduled Tasks
o Logs Windows
o Infos réseau
o Scripts PowerShell
[Link]-on #3.1 :
• Exécuter Hoarder sur la machine compromise
• Examiner les résultats
[Link] rapide avec Loki
• Scanner localement :
o Suspicious binaries
o Scripts malveillants
o Known malware patterns
[Link]-on #3.2 :
• Exécuter Loki
• Analyser les hits
[Link] parallèle avec Autopsy
• Parcourir l’image disque :
o Prefetch
o Jumplists
o Timeline
o Registry
• Rechercher :
o Exécution de Word
o Téléchargements suspects
o Création d’utilisateur local
o Fichiers récemment ouverts
[Link]-on #3.3 :
• Explorer Prefetch et Jumplists
• Noter chemins et timestamps
Résultat étape 2 :
• Confirmation de traces d’exécution suspectes
• Identification possible d’un fichier Word ou autre artefact déclencheur
5. Étape 3 – Retrouver le vecteur initial (1h)
[Link] jusqu’au fichier téléchargé
• Corréler les artefacts :
o Timestamps Prefetch
o Fichiers temporaires
o Historique de téléchargements
• Identifier le fichier Word suspect
[Link]-on #4.1 :
• Corréler les timelines
• Extraire le fichier suspect de l’image disque
[Link] le fichier Word au mail reçu
• Recherche :
o PST/OST (Outlook)
o Webmail artefacts
• Vérifier :
o Sujet
o Expéditeur
o Timestamp
• Corréler date/heure avec ouverture du fichier Word
[Link]-on #4.2 :
• Fouiller les courriels
• Associer la pièce jointe au fichier trouvé
Résultat étape 3 :
• Identification du mail de phishing
• Preuve du lien entre le mail et le fichier Word
6. Étape 4 – Analyse du document Word et de la macro (1h)
[Link] de la macro VBA
• Lire le code VBA :
o URLs
o Téléchargements de payloads
o Exécution de PowerShell
Outils :
• Kuiper
• éditeur hexadécimal
[Link]-on #5.1 :
• Extraire et lire la macro
[Link] les artefacts réseau liés
• Vérifier :
o URLs
o IPs
o Noms de domaines
• Relier au tunnel Ngrok
[Link]-on #5.2 :
• Documenter les IoCs
Résultat étape 4 :
• Compréhension précise de la macro malveillante
• Identification des ressources réseau utilisées
7. Étape 5 – Analyse de Ngrok et autres payloads (1h)
[Link] statique :
• Examiner Ngrok :
o Chaînes internes
o Signatures YARA
• Vérifier si présence d’obfuscation
[Link] dynamique (optionnelle) :
• Exécution en VM isolée
• Observer :
o Connexions sortantes
o Ports ouverts
o Fichiers générés
Outils :
• OllyDbg
• Loki
• Procmon
[Link]-on #6 :
• Charger Ngrok dans OllyDbg
• Scanner avec Loki
• Observer le trafic réseau généré
Résultat étape 5 :
• Détection et compréhension du rôle de Ngrok dans l’exfiltration
• Documentation de ses IoCs
8. Étape 6 – Synthèse & Nettoyage des traces (45 min)
[Link]éer la timeline de l’attaque
• Du mail jusqu’aux tentatives AD
8.2.Rédiger le rapport
• Méthodologie
• Résultats
• IoCs
• Recommandations
[Link]éparer les actions de nettoyage
• Suppression :
o Comptes locaux créés
o Fichiers malveillants
• Vérifier persistance (Scheduled Tasks, services, scripts)
[Link]-on #7 :
• Rédiger un mini-rapport
• Lister les actions de remédiation
9. Conclusion & Q/R (15 min)
• Débrief :
o Points clés de la journée
o Bonnes pratiques
• Discussion libre :
o Threat hunting
o Automatisation
o Ressources à suivre
Prérequis matériel
• Une connexion Internet sans filtrage
• VM AD compromise (logs fournis)
• VM Windows compromise (image disque fournie)
• VM d’analyse (Windows/Linux)
• FTK Imager
• Autopsy
• Hayabusa
• Loki YARA
• Kuiper
• Hoarder DFIR
• Procmon
• OllyDbg
• 32 Go RAM minimum
Formation SOC: Quatre piliers essentiels d’un Security Operations Center :
La formation vise à offrir aux participants une compréhension de quatre piliers essentiels d’un
Security Operations Center: les opérations SOC pour superviser et piloter la défense, le
renseignement sur les menaces pour contextualiser les alertes, la chasse proactive pour détecter les
activités malveillantes avant qu’elles ne causent des dommages, et la réponse aux incidents avec
analyses forensiques pour contenir, examiner et éradiquer les attaques.
Thèmes couverts :
Concepts & opérations du SOC
Renseignement sur les menaces (TI)
Méthodologie de threat hunting
Digital Forensics
CTF Scenarios.
Scenario 1: Operation Broken Chain
Scenario Storyline
A cybercriminal group has launched a targeted campaign against a mobile banking platform.
The attackers begin by reverse engineering the Android banking app and uncovering hard-
coded administrative credentials embedded in the app’s source code. Using these credentials,
they gain unauthorized access to internal API endpoints.
While probing the APIs, they discover an Insecure Direct Object Reference (IDOR) vulnerability,
which they exploit to enumerate and access sensitive customer data. This gives them direct
access to a backend database server hosting Personally Identifiable Information (PII) of users,
including national IDs, bank account details, and mobile numbers.
With initial access established and data exfiltrated to a remote command and control (C2)
server, the attackers proceed to pivot further into the environment. Through enumeration, they
identify a poorly secured development staging server linked to the same environment. They
elevate privileges using stolen secrets and misconfigured tokens, eventually gaining shell
access on the dev server.
On this dev machine, the attackers perform reconnaissance and deploy multiple persistence
mechanisms. They install a Pluggable Authentication Module (PAM) backdoor to silently
maintain access. Additionally, they exploit misconfigured cron jobs to install and run
cryptominers, turning the infrastructure into a covert crypto-mining farm while avoiding
detection.
This complex attack chain reveals deep flaws in mobile app development practices, API design,
and staging environment security.
Scenario 2: Fix You First
Scenario Storyline
A telecommunications provider recently rolled out a web-based Customer Management System
(CMS) as part of its digital KYC (Know Your Customer) process. Customers use this system to
upload identification documents and update account details.
An attacker, posing as a legitimate user, discovers and exploits a vulnerability in the CMS
platform, gaining remote shell access to the server. Further reconnaissance reveals that the
same server also hosts a lesser-known public-facing website linked to a dormant promotional
campaign.
Leveraging this unsecured public site, the attacker crafts a ClickFix-style attack—embedding
malicious code disguised as a fix or helpful script. The attacker injects JavaScript that convinces
internal users to copy and paste code into their browsers or terminals as a "solution"
to a fake
connectivity or KYC verification issue.
An internal support engineer falls for this trap and unknowingly executes code that downloads:
• A malicious macro-enabled document.
• Additional malware including a ransomware payload.
The malware spreads to the user’s workstation, encrypts local files, and drops a ransom note
demanding payment in cryptocurrency. The attack threatens to escalate further into the
corporate network unless contained.
The organization has triggered its incident response plan. Your team has been called in to
investigate, contain, and report on the breach.
Scenario Activities
1. Perform initial triage and scoping
2. Conduct forensic analysis
3. Reconstruct the attack timeline
4. Identify attacker tools and techniques
5. Investigate persistence mechanisms and payloads
6. Prepare a technical and executive incident report
7. Present an incident response strategy