Formation Audit et investigation numérique post-incident

Programme de la formation
Audit et investigation numérique post-incident

• Introduction à la Computer Forensics et Cadre Légal

  - Définition et rôle de la Computer Forensics.
  - Panorama des principes légaux et éthiques (RGPD, chaîne de preuve).
  - Sensibilisation aux enjeux de la preuve numérique.

• Fondamentaux des Systèmes de Fichiers et Supports

  - Systèmes de fichiers (NTFS, EXT4, HFS+): Structure et métadonnées.
  - Stockage: HDD, SSD, USB, RAM et leurs spécificités.
  - Volatilité des données et impact sur l'investigation.

• Planification et Préparation de l'Investigation

  - Mise en place d'un laboratoire forensique (matériel, logiciel).
  - Définition des objectifs et portée de l'enquête.
  - Préparation de la chaîne de conservation (Chain of Custody).

• Acquisition de Données Live et Volatiles

  - Techniques d'acquisition de la mémoire vive (RAM dump).
  - Récupération des connexions réseau actives et processus.
  - Gestion des défis liés aux preuves volatiles.

• Acquisition et Clonage de Supports Statiques

  - Méthodes et outils de clonage disque (DD, EnCase, FTK Imager).
  - Vérification de l'intégrité des images via hachage (MD5, SHA1, SHA256).
  - Gestion des supports endommagés ou illisibles.

• Analyse des Données Statiques et Récupération Fichiers

  - Exploration des images disque et systèmes de fichiers.
  - Récupération de fichiers supprimés ou fragmentés.
  - Utilisation de signatures de fichiers et de la carverie (file carving).

• Analyse des Artefacts Windows

  - Examen du Registre Windows (Registry analysis).
  - Analyse des journaux d'événements (Event Logs).
  - Artefacts d'utilisation (préchargement, raccourcis, corbeille).

• Analyse des Artefacts Linux et macOS

  - Exploration des logs système (syslog, auth.log).
  - Analyse des shells history et fichiers de configuration.
  - Spécificités des systèmes de fichiers Apple.

• Investigation Réseau et Analyse Volatile

  - Capture et analyse de trafic réseau (Wireshark, TCPdump).
  - Identification des connexions suspectes et communications.
  - Analyse des logs de serveurs et équipements réseau.

• Investigation des Applications et Services

  - Analyse des navigateurs web (historique, cookies, cache).
  - Traçabilité des emails et messageries instantanées.
  - Investigation des services cloud et bases de données.

• Détection et Compréhension des Incidents de Sécurité

  - Corrélation des preuves pour reconstituer un scénario d'attaque.
  - Identification des malwares et persistance.
  - Stratégies de réponse à incident basées sur l'investigation.

• Reporting, Présentation des Preuves et Témoignage

  - Rédaction de rapports d'investigation clairs et concis.
  - Présentation des preuves et conclusions techniques.
  - Préparation au témoignage d'expert devant les autorités.