Formation Analyse Forensic – Investigation numérique sur systèmes Windows et Linux
Objectifs
Identifier et définir les concepts fondamentaux du forensic numérique ainsi que les cadres légaux pertinents (France/UE) comme la CNIL et le RGPD.
Expliquer les étapes clés de l'investigation numérique (collecte, analyse, restitution) et les méthodologies associées.
Utiliser des outils de collecte et de préservation des preuves pour créer des images disques forensiques, vérifier les hachages, et cataloguer les preuves de manière appropriée.
Analyser les artefacts Windows (registres, journaux d’événements, Prefetch) et Linux (journaux systèmes, traces d’exécution) pour reconstituer des timelines d'activité et identifier des traces d'exécution suspectes sur des systèmes compromis.
Evaluer et interpréter les résultats d'une analyse mémoire (RAM Forensics) en utilisant des outils comme Volatility pour détecter des malwares en mémoire, et rédiger un rapport forensic complet.
Pré-requis
Participants
Programme de formation
INTRODUCTION AU FORENSIC ET CADRE LEGAL
-
Définitions : forensic, eDiscovery, incident response
-
Cadre légal (France/UE)
- Preuve numérique
- Chaîne de possession
- CNIL
- RGPD
-
Les 3 étapes clés
- Collecte
- Analyse
- Restitution
-
Méthodologie
- Modèle ISO/CEI 27043
- Modèle SANS IR
- Modèle Locard
-
Présentation des outils (FTK Imager, Autopsy, The Sleuth Kit, Volatility...)
COLLECTE ET PRESERVATION DES PREUVES
-
Outils de collecte
- dd
- dcfldd
- FTK Imager
- magnet RAM capture
-
Calculs de hachage (MD5/SHA1/SHA256), horodatage, time skew
-
Types de preuves
- Disques
- Mémoire
- Logs
- Registre
- Réseau
-
Préservation des preuves sur disque, snapshot, copie bit à bit
-
Organisation d'un kit d'intervention (clé USB, scripts, outils live)
ANALYSE FORENSIC SUR WINDOWS
-
Artefacts Windows
- Registres (NTUSER, SYSTEM, SAM)
- Journaux d'événements
- Prefetech
-
Timeline
- Fichiers MFT
- USN Journal
- Shellbags
- Recent docs
-
Traces réseau, sessions RDP, exécution de logiciels
-
Outils
- Autopsy
- FTK Imager
- Registry Explorer
- Timeline Explorer
ANALYSE FORENSIC SUR LINUX
-
Journaux systèmes
- /var/log/
- auth.log
- bash_history
- syslog
- journald
-
Traces d'exécution
- binaire
- cron
- services
- last
- who
- wtmp
- utmp
-
Timeline d'activités via Sleuth Kit (fls, mactime)
-
Outils de recherche dans une image
- Autopsy
- TSK
- Grep
- Strings
ANALYSE MEMOIRE (RAM FORENSIC)
-
Intérêts et limites de l'analyse mémoire
-
Extraction d'une image RAM (WinPMEM, magnet RAM capture)
-
Analyse avec Volatility
- Processus
- Connexions
- DLL
- Shellcode
- Injections
-
Cas d'usage
- Rootkits
- Chevaux de Troie
- Malware sans fichier (fileless)
ETUDE DE CAS COMPLETE + RAPPORT
-
Scénario d'intrusion sur Windows/Linux
-
Collecte de preuves : disque, logs, mémoire
-
Analyse croisée : timeline, fichiers, réseau
-
Rédaction d'un rapport forensic : structure, contenu, recommandations, annexes techniques
-
Présentation synthétique de l'affaire