Formation Cyberenquête : Investigation numérique des réseaux et techniques forensiques

Programme de la formation
Cyberenquête : Investigation numérique des réseaux et techniques forensiques

• Introduction à l'investigation numérique et au forensique réseau

  - Définition et enjeux du forensique numérique
  - Spécificités de l'investigation réseau
  - Cadre légal et éthique des cyberenquêtes
  - Chaîne de la preuve numérique : principes et importance
  - Types d'incidents et rôle du forensique dans leur résolution

• Fondamentaux du réseau pour l'investigation

  - Rappel des modèles OSI et TCP/IP
  - Protocoles réseau clés (HTTP, DNS, SMTP, FTP, etc.)
  - Adressage IP, ports et services
  - Fonctionnement des commutateurs et routeurs
  - Topologies réseau courantes

• Collecte de données réseau : sources et méthodes

  - Types de données réseau forensiques (paquets, logs, flux)
  - Interception de trafic : TAP et Spanning Port (SPAN)
  - Outils de capture de paquets (Wireshark, tcpdump)
  - Gestion et stockage des captures réseau
  - Préparation à la collecte sur site

• Analyse approfondie avec Wireshark

  - Interface de Wireshark et personnalisation
  - Filtres de capture et d'affichage avancés
  - Analyse de protocoles spécifiques
  - Reconstruction de flux TCP/IP
  - Identification d'anomalies de trafic

• Journalisation (Logging) et Syslog

  - Importance des logs pour l'investigation
  - Concepts de Syslog et rsyslog
  - Analyse des logs de périphériques (routeurs, firewalls, serveurs)
  - Centralisation des logs (SIEM intro)
  - Techniques d'extraction et de lecture de logs pertinents

• Identification et analyse des flux réseau

  - Qu'est-ce qu'un flux réseau (NetFlow, IPFIX) ?
  - Outils d'analyse de flux (Elastic Stack, SiLK)
  - Identification de la communication BSS (Botnet Command and Control)
  - Détection de transfert de données volumineux
  - Cartographie des communications internes/externes

• Détection et analyse d'intrusion réseau (IDS/IPS)

  - Principes des IDS/IPS (signature, anomalie)
  - Analyse des alertes IDS (Snort, Suricata)
  - Corrélation des alertes avec d'autres sources de données
  - Réduction des faux positifs/négatifs
  - Interprétation des événements de sécurité réseau

• Analyse forensique des artefacts Web et DNS

  - Examen du trafic HTTP/HTTPS suspect
  - Reconstruction de sessions Web (carving)
  - Analyse des requêtes et réponses DNS (cache, logs)
  - Identification de noms de domaine malveillants
  - Outils spécifiques pour l'analyse Web/DNS

• Forensique des malwares réseau

  - Identification de la propagation de malwares via le réseau
  - Extraction d'échantillons de malwares du trafic
  - Analyse du comportement réseau des malwares
  - Utilisation de sandboxes réseau
  - Réponse aux incidents liés aux malwares

• Outils avancés d'investigation réseau

  - Introduction à Zeek (Bro) pour l'analyse sémantique
  - Utilisation de Tshark pour l'automatisation
  - Principes des Packet Carving tools
  - Prévisualisation d'outils complémentaires (Argus, YAF)
  - Intégration de différents outils dans un workflow

• Reconstruction d'événements et établissement de la chronologie

  - Stratégies de corrélation de données réseau et hôte
  - Création de chronologies d'événements
  - Visualisation des données forensiques
  - Identification des points d'entrée et de propagation
  - Méthodes de contextualisation des preuves

• Rédaction de rapports et aspects légaux

  - Structure d'un rapport d'investigation forensique
  - Présentation des preuves et conclusions
  - Importance de la documentation et de la traçabilité
  - Réglementations et conformité (RGPD, etc.)
  - Témoignage d'expert et préparation au procès