HTB Certified Detection Engineering Principal

Préparer la CDEP

Concevoir des détections solides à partir d'une compréhension bas niveau des techniques d'attaque sur Windows et Linux : injection de processus, manipulation de jetons, persistance, accès aux identifiants.

Défensif · Ingénierie de détectionPrincipalParcours Detection Engineer

L'examen en bref

Durée10 joursLe compte à rebours ne s'arrête pas
Prérequis13 modulesParcours Detection Engineer terminé à 100 %
RéussitePoints + rapportSeuil de points et rapport professionnel
RapportEn anglaisDéposé une seule fois, non modifiable
À savoirNiveau le plus élevé de la gamme. La CDSA n'est pas obligatoire, mais HTB la recommande fortement avant de se lancer.

Règles valables pour tous les examens (tentatives, délais, IA, Pwnbox) : règles communes.

Page mise à jour le 13 novembre 2026. Les conditions d'examen évoluent : vérifie-les sur le centre d'aide HTB avant de réserver.

Réviser

Fiches de cours, flashcards et quiz. Les cartes maîtrisées et ton meilleur score sont enregistrés dans ce navigateur.

Suivi des modules

Les 13 modules du parcours Detection Engineer, regroupés par thème. Coche au fur et à mesure : la progression est enregistrée dans ce navigateur.

Fondations

  • Detection & OpSec Cyber Range
  • Introduction to Detection Engineering
  • Introduction to Dynamic Analysis with WinDbg

Techniques bas niveau

  • Process Injection Attacks and Detection
  • Linux Process Injections & Detections
  • Windows Low Level Detectability
  • Detecting Access Token Manipulation Attacks
  • Windows API Monitoring and Hooking
  • Windows Kernel Telemetry & Detection Techniques

Analyse des modes opératoires

  • Privilege Escalation Tradecraft Analysis
  • Persistence Tradecraft Analysis
  • WMI Tradecraft Analysis
  • Credential Access Tradecraft Analysis

Ce que l'examen évalue

  • Comprendre ce qu'une technique d'attaque laisse comme télémétrie, du mode utilisateur au noyau.
  • Analyser dynamiquement un comportement avec WinDbg.
  • Détecter injection de processus, manipulation de jetons et hooking d'API.
  • Analyser élévation de privilèges, persistance, WMI et vol d'identifiants.
  • Écrire des détections robustes, peu bruyantes et difficiles à contourner.
  • Documenter les détections et leurs limites dans un rapport technique.

Planning de révision

Un exemple à adapter à ton rythme. Alterne toujours modules et pratique.

  1. PrérequisNiveau CDSA : SIEM, journaux, Sysmon, ATT&CK.
  2. Mois 1Fondations, WinDbg, détectabilité bas niveau.
  3. Mois 2Injection, jetons, hooking, télémétrie noyau.
  4. Mois 3Analyse des modes opératoires et rédaction de détections, puis rapport.

Conseils pour l'examen

Spécifiques à la CDEP

  • Pour chaque technique, note trois choses : comment elle fonctionne, ce qu'elle laisse comme trace, comment la détecter.
  • Pense en comportements (haut de la Pyramid of Pain), pas en indicateurs faciles à changer.
  • Teste chaque détection contre des variantes de l'attaque pour mesurer sa robustesse.

Valables pour tous les examens HTB

  • Découpe la durée : garde au moins un tiers du temps pour le rapport.
  • Capture d'écran à chaque étape clé, notes horodatées.
  • Bloqué depuis deux heures ? Note la piste et passe à autre chose.
  • Utilise le modèle officiel ou celui de SysReptor dès l'entraînement.

Réviser sur ce site

Méthodologie

Rédiger le rapport

Ouvrir →
 Certification

CDSA

Ouvrir →
 Méthodologie

Journaux Windows et Sysmon

Ouvrir →
 Fiche mémo

Configuration Sysmon

Ouvrir →
 Fiche mémo

Event IDs Windows

Ouvrir →
 Fiche mémo

Sigma et YARA

Ouvrir →
 Méthodologie

Threat hunting

Ouvrir →
 Fiche mémo

Requêtes SIEM

Ouvrir →
 Fiche mémo

Cadres de référence

Ouvrir →

Prêt à réserver ?

  • Parcours Detection Engineer terminé à 100 %
  • Voucher d'examen disponible
  • Notes personnelles organisées et faciles à consulter
  • Modèle de rapport prêt, déjà utilisé au moins une fois
  • Au moins un entraînement complet en conditions réelles
  • Période de 10 jours bloquée dans l'agenda