KC7 : le jeu gratuit de cyber-détective expliqué (2026)

Qu'est-ce que KC7 ?

KC7 est un jeu de cybersécurité gratuit en ligne dans lequel les joueurs enquêtent sur des cyberattaques réalistes et fictives en fouillant des journaux de sécurité. Chaque enquête est un mystère : vous recevez une entreprise, une histoire et des millions de lignes de données e-mail, web et poste de travail, puis vous répondez à des questions qui vous mènent d'un premier indice à la vue complète de l'attaque.

Quelques faits à connaître avant de vous inscrire :

• Il est géré par une association à but non lucratif. Le jeu est exploité par la KC7 Foundation, une organisation américaine enregistrée sous le statut 501(c)(3). La page d'accueil de KC7 promet « Free forever » (gratuit pour toujours) et « No credit card » (sans carte bancaire).
• Il a été conçu par des analystes en activité. KC7 a été fondé par Simeon Kakpovi, analyste en threat intelligence chez Microsoft. Greg Schloemer et Emily Hacker ont coécrit le guide de formation d'origine, et Greg Schloemer est vice-président de la fondation.
• Il est parti de presque rien. Selon la page « About » de KC7, le projet a démarré en 2019 avec un jeu de données tapé à la main et partagé avec une classe de community college (l'équivalent américain d'un établissement d'enseignement supérieur court). Le portrait publié par Microsoft Unlocked retrace son essor à partir du Global Hackathon 2022 de Microsoft.
• Le nom fait référence à la kill chain. Le portrait de Microsoft explique que « KC7 » désigne la dernière étape du processus d'attaque. Dans la Cyber Kill Chain de Lockheed Martin, c'est l'étape sept, « Actions on Objectives », le moment où l'attaquant accomplit ce pour quoi il est venu.

Ce dernier point résume l'esprit du jeu. Si la kill chain est nouvelle pour vous, notre guide de la Cyber Kill Chain détaille ses sept étapes. Dans KC7, vous les voyez depuis le fauteuil du défenseur : un e-mail de phishing arrive, quelqu'un clique, un fichier apparaît, un processus s'exécute, des données sortent. Votre travail consiste à retrouver chaque étape dans les logs.

Comment fonctionne KC7

Chaque enquête KC7 (le site parle aussi de modules ou de jeux) suit la même structure : une fois la première terminée, les suivantes vous paraîtront familières.

La page de l'enquête et le tableau des scores

Vous vous inscrivez avec Google, Microsoft ou une adresse e-mail, ou vous cliquez sur « Continue as Guest » et récupérez le compte plus tard. Chaque enquête s'ouvre sur une courte histoire et une liste de questions. Les réponses sont des faits précis : une adresse e-mail, un domaine, un nom de fichier, un horodatage, un nombre. Saisissez-la dans le tableau des scores et vous savez immédiatement si elle est juste. Les bonnes réponses rapportent des points et des badges, et votre rang apparaît dans un classement mondial.

Les données sont hébergées dans Azure Data Explorer

Pour la plupart des enquêtes, les logs sont hébergés dans Azure Data Explorer (ADX), le service d'analyse de logs de Microsoft. L'enquête vous donne le lien vers le jeu de données, et beaucoup d'enquêtes peuvent afficher le panneau de requêtes ADX directement dans la page KC7. Si vous ouvrez ADX séparément, il vous demande de vous connecter avec un compte Microsoft, et un compte personnel gratuit suffit. Vous n'installez jamais rien.

Dans ADX, vous écrivez des requêtes en KQL, le Kusto Query Language. C'est ce qui fait de KC7 bien plus qu'un jeu. Microsoft documente KQL comme le langage de Microsoft Sentinel et d'Azure Monitor : les requêtes que vous tapez pour attraper un hacker fictif sont du même type que celles que les vrais analystes SOC tapent tous les jours.

Niveaux de difficulté, parcours et question du jour

• La difficulté va de Beginner à Expert. Les pages d'enquête indiquent une durée estimée, d'environ 50 minutes pour « A Rap Beef » à plusieurs dizaines d'heures pour de longues enquêtes intermédiaires comme « AzureCrest ».
• Les parcours regroupent les enquêtes dans l'ordre. La page des modules affiche quatre parcours « Security Analyst » (I à IV), et des parcours Incident Responder et CTI Analyst annoncés comme bientôt disponibles.
• DAILY7 ajoute une question par jour. Saisissez le mot de code DAILY7 dans le tableau des scores et une nouvelle question apparaît chaque jour, sur des sujets comme l'OSINT ou le décodage. C'est pensé pour enchaîner les séries.

KC7 face à un CTF classique

On qualifie souvent KC7 de CTF, et il en partage le tableau des scores et la boucle « trouver la réponse ». Mais les compétences travaillées sont différentes, et le savoir vous aide à choisir comment occuper vos soirées.

Notre avis : faites les deux. Les CTF offensifs vous apprennent comment fonctionnent les attaques, et KC7 vous apprend ce qu'elles laissent derrière elles. Un analyste qui a déjà exploité une injection SQL la repère bien plus vite dans un log web, et un attaquant qui a déjà lu des logs fait moins d'erreurs bruyantes. Si vous n'avez jamais joué à un CTF offensif, notre guide CTF pour débutants explique comment démarrer de ce côté-là.

KC7 est aussi la porte d'entrée la plus accueillante pour un certain profil de débutant : les personnes qui aiment les énigmes et les tableurs mais se sentent perdues dans un terminal Linux. Pas de shell, pas de compilation, pas d'exploit qui refuse de fonctionner sans que personne n'explique pourquoi. Vous lisez des données et vous leur posez des questions.

Comment jouer votre première enquête KC7

Commencez par « A Rap Beef: An Intro to Security Investigations ». Sa page la classe en Beginner, environ 50 minutes, 950 points, et précise « Anyone can do this! No prior experience necessary » (tout le monde peut le faire, aucune expérience requise). Vous jouez un analyste sécurité dans une maison de disques dont deux artistes sont en guerre, et les objectifs consistent à identifier une campagne de phishing, lire des journaux de sécurité et enquêter sur une intrusion simple.

Voici la routine que nous recommandons pour cette enquête et toutes les suivantes :

1. Lisez toute l'histoire et toutes les questions d'abord. Les questions dessinent la carte de l'attaque. Si la question 9 porte sur un fichier téléchargé, vous savez qu'un téléchargement a eu lieu et vous pouvez le guetter dès le départ.
2. Échantillonnez chaque table. Lancez take 10 sur chaque table avant toute chose. Vous découvrez les colonnes disponibles et la façon dont les valeurs sont écrites (e-mails en minuscules, URL complètes, horodatages UTC).
3. Partez de l'indice fourni par l'histoire. En général un domaine, un expéditeur ou une IP suspects. Cherchez-le dans la table la plus évidente, souvent Email.
4. Pivotez. Prenez une valeur de votre résultat, par exemple un destinataire, et cherchez-la dans la table suivante. Le destinataire mène à une adresse IP, l'IP mène au trafic web, le trafic web mène à un téléchargement.
5. Tenez un fichier de notes. Une ligne par découverte : heure, qui, quoi, où. La moitié des questions suivantes se résolvent directement à partir de vos notes.
6. Recopiez les réponses à l'identique. Le tableau des scores compare des chaînes de caractères. Un sous-domaine oublié ou une espace en trop donne une mauvaise réponse, même si votre raisonnement est parfait.

Le KQL dont vous avez besoin pour KC7

Inutile de « connaître KQL » avant votre première enquête. Le guide de formation d'origine de KC7 enseigne l'essentiel en quelques pages, et six opérateurs suffisent pour la plupart des questions de niveau débutant et intermédiaire. Ce guide liste huit tables (Employees, Email, OutboundBrowsing, AuthenticationEvents, FileCreationEvents, ProcessEvents, PassiveDns et InboundBrowsing). Les enquêtes plus récentes renomment ou ajoutent parfois des tables, et c'est justement pour cela que l'étape 2 ci-dessus consiste à « tout échantillonner ».

Les exemples ci-dessous utilisent des données inventées pour une entreprise fictive, pas des réponses tirées d'une vraie enquête. Les noms de colonnes sont eux aussi illustratifs, vérifiez donc les vrais avec take 10.

1. Regarder avant de chercher : take

Employees
| take 10

Chaque requête commence par un nom de table. Le pipe | transmet les lignes à l'opérateur suivant. Ici, take 10 affiche dix lignes pour que vous voyiez les colonnes.

2. Combien : count

Email
| where recipient == "[email protected]"
| count

Une question comme « Combien d'e-mails ont été envoyés à Dana ? » se résout avec un filtre suivi de count.

3. Filtrer : where, avec == ou has

Email
| where sender has "acmeverify"
| project timestamp, sender, recipient, subject, link

== cherche une correspondance exacte. has cherche un terme entier dans le texte. project ne garde que les colonnes utiles, ce qui rend les résultats lisibles.

Le résultat est le genre de tableau qui fait basculer une enquête (raccourci pour tenir en largeur) :

timestamp             sender                         recipient          subject
2026-03-03T09:14:02Z  [email protected]  [email protected]  Password expires today
2026-03-03T09:14:05Z  [email protected]  [email protected]  Password expires today
2026-03-03T09:14:09Z  [email protected]  [email protected]  Password expires today

Trois employés, un domaine sosie, un objet urgent. C'est une campagne de phishing, et chaque destinataire devient une piste sur laquelle pivoter.

4. Valeurs uniques : distinct

Email
| where link has "acmeverify"
| distinct recipient

Utilisez distinct quand une question demande « quels utilisateurs » ou « combien de domaines différents ».

5. Plusieurs valeurs à la fois : in

PassiveDns
| where ip in ("203.0.113.40", "203.0.113.41")
| distinct domain

Cette requête trouve tous les domaines hébergés sur les IP de l'attaquant. Les attaquants réutilisent leur infrastructure, donc un domaine malveillant en révèle souvent cinq autres.

6. Enchaîner les requêtes : let

let victims = Employees
| where name in ("Dana Ruiz", "Omar Haddad", "Lena Novak")
| distinct ip_addr;
OutboundBrowsing
| where src_ip in (victims)
| where url has "acmeverify"

let stocke le résultat d'une requête pour que la suivante puisse l'utiliser. C'est le pivot écrit sous forme de code : des employés aux IP, des IP au trafic web, en une seule fois.

Le piège has contre contains

Tôt ou tard, une requête qui « devrait » renvoyer des résultats revient vide. Le coupable habituel est has. La documentation Microsoft sur les opérateurs de chaînes explique que has cherche des termes entiers : "KustoExplorerQueryRun" has "Explorer" renvoie donc false, alors que contains cherche n'importe quelle sous-chaîne et renvoie true. Utilisez has par défaut parce qu'il est plus rapide, et passez à contains quand vous cherchez un fragment à l'intérieur d'un mot plus long.

Autre piège de vocabulaire : « KQL » désigne aussi le Kibana Query Language de la suite Elastic, un langage différent qui porte les mêmes initiales. Pour voir la même logique « filtrer puis agréger » dans Splunk SPL et dans Elastic, le chapitre analyse de logs par requêtes du cours Analyste SOC de HackerDNA déroule une enquête sur une attaque par force brute dans les deux.

KC7, une alternative aux compétitions

Beaucoup de gens cherchent KC7 parce qu'un enseignant, un club ou une entreprise l'a utilisé pour un événement. C'est l'un de ses meilleurs usages, et il ne coûte rien.

• GameOn permet à chacun d'organiser. KC7 présente GameOn comme une « free teaching platform with classrooms, progress tracking, and a cyber competition » (plateforme pédagogique gratuite avec classes, suivi de progression et compétition cyber). Enseignants, formateurs en entreprise et animateurs associatifs remplissent une courte demande, et la page GameOn indique que les premières demandes sont « usually ready within minutes » (généralement prêtes en quelques minutes), avec une page organisateur, un lien joueur et un tableau de bord.
• Il convient aux niveaux mélangés. Comme chaque question se résume à un filtre ou un pivot, un débutant complet marque des points sur les questions faciles pendant que les joueurs expérimentés filent vers les dernières. C'est difficile à obtenir avec un CTF classique, où un débutant peut passer tout un week-end sur un seul challenge non résolu.
• Il est ouvert toute l'année. Contrairement aux événements saisonniers comme la National Cyber League ou l'Advent of Cyber, les enquêtes KC7 restent ouvertes en permanence, et un club peut les utiliser n'importe quelle semaine de l'année scolaire.

Si vous animez un club, notre conseil est simple : lancez « A Rap Beef » lors d'une séance d'ouverture d'une heure, en binômes partageant un écran. Les binômes verbalisent leurs pivots à voix haute, et c'est exactement comme ça que les analystes apprennent les uns des autres.

KC7 vaut-il le coup ? Notre avis honnête

Oui, KC7 fait partie des meilleures ressources gratuites pour apprendre la sécurité défensive. Voici pourquoi, et où il montre ses limites.

Ce qu'il fait bien

• De vraies compétences, zéro installation. KQL dans ADX est une compétence métier, pas une mécanique de jeu, et vous commencez dans un onglet de navigateur.
• Les histoires aident à retenir. Vous vous souviendrez de « ce domaine de phishing qui hébergeait aussi le malware » bien plus longtemps que d'une diapositive sur les indicateurs de compromission.
• Une courbe de difficulté douce. Les enquêtes débutant ne supposent vraiment aucun prérequis.

Ses limites

• Un seul outil. Vous ne toucherez ni à Wireshark, ni à l'analyse mémoire, ni à Splunk. KC7 enseigne l'interrogation de logs, pas toute la boîte à outils du SOC.
• Les longues enquêtes sont longues. Certaines enquêtes intermédiaires sont annoncées entre 45 et 96 heures. Abordez-les comme des projets, pas comme des soirées.
• Pas de volet offensif. Vous ne voyez les attaques qu'à travers leurs traces, donc vous n'apprenez jamais pourquoi un exploit a fonctionné.

Le meilleur parcours que nous connaissons : KC7 pour la logique des logs, puis une plateforme avec des captures réseau et des images disque. Notre guide CyberDefenders pour débutants couvre cette étape suivante, où vous échangez KQL contre Wireshark, les dumps mémoire et les SIEM.

Considérations légales et éthiques

• Ne visitez pas les indicateurs d'une enquête. Le guide de formation de KC7 parle de bonne OPSEC : en tant qu'analyste, vous étudiez les domaines suspects grâce à des données comme le DNS passif plutôt qu'en vous y connectant.
• Respectez la vie privée dans un vrai poste. Le guide rappelle aussi que les entreprises journalisent les métadonnées des e-mails, pas leur contenu complet, pour protéger les employés. Un vrai accès aux logs s'accompagne de vraies obligations de confidentialité.
• Ne publiez pas les réponses. Partager des listes de réponses gâche le jeu pour les autres joueurs et pour les classes qui utilisent KC7 comme programme gratuit. Partagez votre méthode, pas vos réponses.

Questions fréquentes