Formation Sécurité informatique Linux : Investigation Numérique Approfondie

Programme de la formation
Sécurité informatique Linux : Investigation Numérique Approfondie

• Introduction à la Computer Forensics sous Linux

  - Définition et cadre légal de la Computer Forensics
  - Cycle de vie d'une investigation numérique
  - Spécificités de l'investigation sur systèmes Linux
  - Préparation de l'environnement d'investigation (Live CD, machines virtuelles)

• Fondamentaux des systèmes de fichiers Linux

  - Architecture des systèmes de fichiers Linux (ext4, XFS, Btrfs)
  - Inodes et blocs de données
  - Journalisation et impact sur la forensique
  - Mécanismes d'effacement et récupération de données

• Préservation des preuves et acquisition forensique

  - Chaîne de possession et intégrité des preuves
  - Acquisition volatile (RAM, processus, connexions réseau)
  - Acquisition de disques physiques et logiques (dd, dc3dd, dcfldd)
  - Hachage forensique (MD5, SHA1, SHA256)

• Analyse des systèmes de fichiers : Récupération de données

  - Outils de récupération de fichiers (foremost, scalpel, photorec)
  - Récupération de fichiers effacés et écrasés (carving)
  - Identification et reconstruction de fragments de fichiers
  - Analyse des journaux du système de fichiers

• Analyse des journaux système et d'application

  - Structure et format des logs Linux (/var/log)
  - Analyse des messages système (syslog, rsyslog, journalctl)
  - Analyse des logs d'authentification (auth.log, lastlog, wtmp, btmp)
  - Recherche d'anomalies et d'activités suspectes

• Investigation des activités réseau et connexions

  - Analyse des connexions réseau (netstat, ss)
  - Capture et analyse de paquets (tcpdump, Wireshark)
  - Reconstruction de sessions et identification de flux malveillants
  - Analyse des fichiers de configuration réseau

• Analyse des processus et de la mémoire vive

  - Acquisition de la mémoire RAM (LiME, fmem, Volatility)
  - Analyse des processus en cours d'exécution (ps, top)
  - Identification des processus cachés ou malveillants
  - Reconstruction d'événements à partir de la RAM

• Recherche de rootkits et malwares Linux

  - Techniques de détection de rootkits (chkrootkit, rkhunter)
  - Analyse statique et dynamique de malwares
  - Extraction d'indicateurs de compromission (IOCs)
  - Contournement des techniques d'obfuscation

• Analyse d'artefacts utilisateur et de navigation

  - Historiques de commandes (bash_history)
  - Fichiers temporaires et fichiers de swaps
  - Analyse des données de navigation (historiques, caches, cookies)
  - Identification des utilisateurs et de leurs activités

• Techniques avancées d'analyse forensique

  - Montage de systèmes de fichiers à des fins forensiques
  - Utilisation de The Sleuth Kit (TSK) et Autopsy
  - Analyse de l'heure de modification des fichiers (timestomping)
  - Corrélation d'événements et de données

• Automatisation et scripting pour la forensique

  - Introduction au scripting Shell/Python pour la forensique
  - Automatisation de tâches d'acquisition et d'analyse
  - Génération de rapports et agrégation de données
  - Développement d'outils forensiques personnalisés

• Recueil de preuves et rapport d'investigation

  - Rédaction d'un rapport d'investigation numérique complet
  - Présentation des conclusions et recommandations
  - Préparation de la preuve pour des procédures judiciaires
  - Bonnes pratiques et éthique du cyber-investigateur
  ### Compétences