Mon objectif est d'évoluer vers le SOC, le DFIR et l'ingénierie de sécurité.
Construire, sécuriser, défendre.
Presque tout ce que je fais tourne autour de ces trois verbes. Je viens du déploiement cloud et de l'administration de systèmes, j'ai donc d'abord appris à monter de l'infrastructure (architectures de microservices sur AWS et Azure, bases de données, cache, orchestration avec Kubernetes) et à l'automatiser avec des pipelines CI/CD sur GitHub et GitLab.
La spécialisation en cybersécurité a orienté cette pratique vers l'approche DevSecOps : intégrer les contrôles au cœur même du cycle de développement, avec analyse de code, scan des dépendances et revue des conteneurs avant que quoi que ce soit n'arrive en production.
Ensuite, j'ai appris à défendre ce que j'avais construit.
J'ai monté des environnements Blue Team complets : SIEM avec Wazuh et ses règles de détection, automatisation de la réponse via SOAR, pare-feu OPNsense, EDR et VPN, ainsi que des honeypots exposés sur internet. Venir de l'administration de systèmes me donne un avantage ici : quand on sait à quoi ressemble une machine saine, on repère bien plus vite ce qui sort de l'ordinaire.
Mais ce qui me passionne vraiment, c'est ce qui se passe après l'attaque.
Mon honeypot reçoit chaque jour de véritables tentatives d'intrusion, et chacune laisse une trace à reconstituer : par où l'attaquant est entré, quelles commandes il a exécutées, ce qu'il a téléchargé et jusqu'où il est allé. Pour cela, je m'appuie sur l'analyse de mémoire et sur le référentiel MITRE ATT&CK, qui me permet de classer chaque mouvement selon des tactiques et des techniques connues.
Et le résultat ne reste pas au laboratoire : je signale les adresses IP des attaquants et je dépose les échantillons de malware sur les plateformes publiques de renseignement sur les menaces, dont plusieurs binaires qu'aucun moteur antivirus n'avait encore répertoriés.
D'ailleurs...
Parlons de réalisations et de chiffres :
Chiffres accumulés depuis mes propres honeypots et laboratoires, à jour en août 2026. Je peux détailler chacune de ces contributions si cela présente un intérêt.
Voici Dirtylands, un projet Cowrie + Dionaea dont la proposition de valeur est le déploiement rapide. Commandes fonctionnelles, environnement réaliste, rigueur et maturité du projet. Il est aussi pleinement capable de signaler tout événement via Telegram et l'activité malveillante aux plateformes respectives, et assure l'observabilité.
Traduit en 5 langues : espagnol, français, anglais, allemand et bulgare.
Rapport d'expertise sur le lab "Sysinternals" de CyberDefenders.org. Image .E01 analysée avec Autopsy et Registry Explorer, téléchargement HTTP usurpant Microsoft, exécution en tant que SYSTEM, SHA-1 récupéré dans Amcache, cheval de Troie Rozena, C2 et persistance par service. Avec chaîne de possession et conclusions d'expertise.
Rapport d'expertise sur une capture de trafic réseau (.PCAP) d'un poste infecté par Lumma Stealer. Analyse dans Wireshark, identification de l'hôte via DHCP et Kerberos, beaconing HTTP vers le C2, exfiltration d'identifiants compressés et cinq domaines malveillants vérifiés sur VirusTotal. Avec IoC et chaîne de possession.
Rapport d'expertise sur un dump de mémoire RAM (.dmp) d'un poste compromis par StrelaStealer. Analyse avec Volatility 3 : processus orphelins, chaîne Living off the Land avec PowerShell, chargement fileless d'une DLL via WebDAV, connexion au C2 et injection de code dans Thunderbird pour voler des identifiants.
TP 1 : lab IAM avec Keycloak sur Docker et WSL. Flux OAuth 2.0 et OpenID Connect, anatomie des trois tokens, PKCE, introspection, rotation et révocation. Inclut des erreurs provoquées volontairement, avec la réponse réelle du serveur.
TP 2 : serveur de ressources en FastAPI qui valide des tokens JWT émis par Keycloak avec son JWKS, en vérifiant signature, émetteur, audience, expiration et rôles. Inclut six types d'échec provoqués volontairement, avec la réponse réelle de l'API.
TP 3 : fédération d'Active Directory dans Keycloak via LDAPS. Le contrôleur de domaine tourne sur Hyper-V et Keycloak sur Docker dans WSL2. Des utilisateurs qui n'existent que dans AD se connectent avec OIDC, et leurs attributs et groupes arrivent dans le token. Inclut mappers, cycle de vie et comptes orphelins.
Honeypot déployé sur Azure avec port knocking dynamique via iptables et alertes Telegram en temps réel.
Pipeline DevSecOps complet sur GitLab CI/CD, intégrant SonarQube, GitLeaks, Snyk et OWASP ZAP pour analyser la qualité et la sécurité du code de bout en bout. L'état du pipeline est notifié automatiquement et en temps réel sur Discord.
Migration lift & shift vers AWS (IaaS) d'une application web Java multi-tiers montée d'abord en local. Serveurs Tomcat derrière un Elastic Load Balancer avec Auto Scaling, MariaDB, Memcached et RabbitMQ comme services de backend, DNS privé sur Route 53, artefacts déployés depuis S3 et accès limités avec IAM.
Déploiement d'un cluster Kubernetes managé sur AWS avec EKS, à partir d'un compte tout neuf. Renforcement de l'accès avec des utilisateurs IAM et le MFA, une alarme de facturation CloudWatch, le VPC et ses sous-réseaux publics, le groupe de nœuds avec ses rôles et les vraies erreurs rencontrées en chemin.
Projet où je pratique les bases d'Ansible en terminant tous les modules du cours Udemy. J'ai aussi dû affronter le scénario où les clés .pem de ma machine EC2 sont perdues, et j'essaie de le résoudre.
Ce projet GitHub fait partie du cours "DevOps Beginners to Advanced" sur Udemy. Le projet consiste à utiliser Vagrant, Nginx, Tomcat, RabbitMQ, Memcached et MySQL pour construire un site web.
Ce projet montre la création d'un pipeline CI/CD avec des services AWS pour gérer, compiler et déployer une application web sur AWS Elastic Beanstalk, en intégrant AWS CodePipeline, AWS CodeBuild et la connexion à une base de données AWS RDS. Bitbucket sert de dépôt git pour le code source.
Ce projet GitHub fait partie du cours "DevOps Beginners to Advanced" sur Udemy. Notre projet AWS précédent déployait une webapp multi-tiers avec Memcached, MySQL, Tomcat, RabbitMQ et un load balancer. Cette fois, on reconstruit tout avec des services AWS comme ElastiCache, Amazon MQ, RDS et Beanstalk.
