HTB Certified Defensive Security Analyst
Préparer la CDSA
Le métier d'analyste SOC en conditions réelles : enquêter sur des incidents à partir des SIEM, des journaux et du trafic réseau, puis rédiger un rapport d'incident professionnel.
Défensif · SOCIntermédiaireParcours SOC Analyst
L'examen en bref
Durée7 joursLe compte à rebours ne s'arrête pas
Prérequis15 modulesParcours SOC Analyst terminé à 100 %
RéussitePoints + rapportSeuil de points et rapport professionnel
RapportEn anglaisDéposé une seule fois, non modifiable
À savoirLa certification défensive de référence chez HTB. Une grande partie du programme est couverte par les méthodologies défensives de ce site.
Règles valables pour tous les examens (tentatives, délais, IA, Pwnbox) : règles communes.
Page mise à jour le 13 novembre 2026. Les conditions d'examen évoluent : vérifie-les sur le centre d'aide HTB avant de réserver.
Réviser
Fiches de cours, flashcards et quiz. Les cartes maîtrisées et ton meilleur score sont enregistrés dans ce navigateur.
Suivi des modules
Les 15 modules du parcours SOC Analyst, regroupés par thème. Coche au fur et à mesure : la progression est enregistrée dans ce navigateur.
Processus et supervision
- Incident Handling Process
- Security Monitoring & SIEM Fundamentals
- Security Incident Reporting
Journaux et SIEM
- Windows Event Logs & Finding Evil
- Introduction to Threat Hunting & Hunting With Elastic
- Understanding Log Sources & Investigating with Splunk
- Windows Attacks & Defense
- Detecting Windows Attacks with Splunk
Réseau
- Intro to Network Traffic Analysis
- Intermediate Network Traffic Analysis
- Working with IDS/IPS
Analyse et forensique
- Introduction to Malware Analysis
- JavaScript Deobfuscation
- YARA & Sigma for SOC Analysts
- Introduction to Digital Forensics
Ce que l'examen évalue
- Mener une enquête dans Elastic et Splunk à partir d'une alerte.
- Lire les journaux Windows et repérer les attaques courantes contre AD.
- Analyser du trafic réseau et exploiter IDS/IPS (Suricata, Snort, Zeek).
- Faire une première analyse de maliciel et écrire des règles YARA et Sigma.
- Collecter et analyser des preuves forensiques.
- Rédiger un rapport d'incident : chronologie, impact, indicateurs, recommandations.
Planning de révision
Un exemple à adapter à ton rythme. Alterne toujours modules et pratique.
- Sem. 1–2Processus de réponse à incident, SIEM, journaux Windows.
- Sem. 3–4Threat hunting dans Elastic, enquêtes dans Splunk, attaques Windows.
- Sem. 5–6Analyse réseau et IDS/IPS.
- Sem. 7–8Maliciels, YARA et Sigma, forensique.
- Sem. 9Labs Sherlocks HTB et un rapport d'incident complet.
Conseils pour l'examen
Spécifiques à la CDSA
- Construis la chronologie au fur et à mesure : c'est l'ossature du rapport.
- Garde une liste d'indicateurs (IP, domaines, hash, comptes) et réutilise-la pour chercher partout.
- Les Sherlocks de HTB sont l'entraînement le plus proche de l'examen.
Valables pour tous les examens HTB
- Découpe la durée : garde au moins un tiers du temps pour le rapport.
- Capture d'écran à chaque étape clé, notes horodatées.
- Bloqué depuis deux heures ? Note la piste et passe à autre chose.
- Utilise le modèle officiel ou celui de SysReptor dès l'entraînement.
Réviser sur ce site
Méthodologie
Rédiger le rapport
Ouvrir →
MéthodologieSOC et SIEM
Ouvrir →
Fiche mémoRequêtes SIEM
Ouvrir →
MéthodologieJournaux Windows et Sysmon
Ouvrir →
Fiche mémoEvent IDs Windows
Ouvrir →
MéthodologieNetwork Traffic Analysis
Ouvrir →
Fiche mémoFiltres réseau
Ouvrir →
MéthodologieThreat hunting
Ouvrir →
MéthodologieRéponse à incident
Ouvrir →
MéthodologiePlaybooks de réponse à incident
Ouvrir →
MéthodologieForensique (DFIR)
Ouvrir →
Fiche mémoConfiguration Sysmon
Ouvrir →
Fiche mémoJournaux Zeek
Ouvrir →
Fiche mémoArtefacts Windows
Ouvrir →
Fiche mémoArtefacts Linux
Ouvrir →
Fiche mémoVolatility 3
Ouvrir →
Fiche mémoCadres de référence
Ouvrir →
Prêt à réserver ?
- Parcours SOC Analyst terminé à 100 %
- Voucher d'examen disponible
- Notes personnelles organisées et faciles à consulter
- Modèle de rapport prêt, déjà utilisé au moins une fois
- Au moins un entraînement complet en conditions réelles
- Période de 7 jours bloquée dans l'agenda